【CVE-2017-12615】 Tomcat任意文件上传漏洞
首先先贴出wooyun上的一个案例：http://wooyun.jozxing.cc/static/bugs/wooyun-2015-0107097.html
看到这个漏洞让我想到了IIS6.0任意文件上传的漏洞，不过现在大多都用工具，比如IIS put scan...
这里贴出IIS6.0任意文件上传案例：https://blog.csdn.net/qq_42357070/article/details/82183988
能文件上传，大多都是权限过滤不严....
漏洞分析：
我们来分析tomcat这个漏洞，需要首先允许tomcat进行PUT操作，问题也就在 /conf/web.xml：
<servlet>
<servlet-name>default</servlet-name>
<servlet-class>org.apache.catalina.servlets.DefaultServlet</servlet-class>
<init-param>
<param-name>debug</param-name>
<param-value>0</param-value>
</init-param>
<init-param>
<param-name>listings</param-name>
<param-value>false</param-value>
</init-param>
<init-param>
<param-name>readonly</param-name>
<param-value>false</param-value>
</init-param>
<load-on-startup>1</load-on-startup>
</servlet>
重点是readonly的那一项，因为其他的都是默认的，只有那个是自己添加的。
我们来看一下readonly这个选项是用来做什么的吧：
也是在这个web.xml文件中，已经注释的地方说明了默认情况下readonly是true，并且如果
是true的话，那么PUT和DELETE方法是被拒绝的，因此如果手动将readonly选项开启为false，
那么就能够通过PUT方法上传文件了。
漏洞复现：
我们开启tomcat漏洞环境，本次还是使用docker来搭建环境，开启环境：
使用burpsuite抓包，发送构造的的webshell：
当我们发送上图构造好的jsp马时发现爆出405错误，当我们重新构造：
PUT /joker.jsp 与 PUT /joker.jsp/ 一个成功一个失败
查阅资料发现，原来default servlet只能处理静态文件，而处理jsp文件是jspservlet，但是只有defaultservlet
有PUT上传逻辑，解决的办法是通过构造特殊的后缀名来进行绕过，从而上传jsp木马。
经过验证，可以在文件名后面添加斜杠 / 或者 %20来进行绕过，应为在windows下，%20(空格)和 / 都是不合法文件名。都会被去掉
我们尝试访问上传上去的jsp马：
可以看到木马被正常访问！
为了方便。一般情况下我们直接使用EXP快速利用。在这里贴上Bearcat师傅的CVE-2017-12615的EXP下载地址：
https://github.com/iBearcat/CVE-2017-12615
修复方案：
1、配置readonly和VirtualDirContext值为True或注释参数，禁止使用PUT方法并重启tomcat
注意：如果禁用PUT方法，对于依赖PUT方法的应用，可能导致业务失效。
2、根据官方补丁升级最新版本