正文 

当前位置： 首页 > 程序 > java教程

tomcatexample应用信息泄漏漏洞及修复(代码片段)

星球守护者 星球守护者     2023-01-20     451

关键词：

文章目录

Tomcat 介绍

  • Tomcat 是一款开源的Web 应用服务器软件。
  • Tomcat 属于轻量级应用服务器，在中小型系统和并发访问用户不多的场合下被普遍使用，是开发和调试 JSP 程序的首选。

漏洞描述

  • Tomcat 在使用时一般直接下载源代码包，解压后直接使用。
  • 默认情况下，Tomcat 源码包 Web 根目录下包含servlets-examples 和 tomcat-docs目录，这些目录下的某些样例存在安全风险。
  • 例如，session 样例（/examples/servlets/servlet/SessionExample）允许用户对 session 进行操纵，可被利用来绕过网站验证机制直接登录后台。

受影响范围

所有版本的 Tomcat

漏洞复现

https://xxx.com/examples
https://xxx.com/examples/servlets/
https://xxx.com/examples/jsp/
https://xxx.com/examples/websocket/index.xhtml



修复方案

由于一般情况下，无需使用样例功能，建议您在部署完 Tomcat 后直接删除 servlets-examples 和 tomcat-docs 目录。
注意：在修改前请做好备份，或建立硬盘快照。

免责声明

本文档供学习，请使用者注意使用环境并遵守国家相关法律法规!
由于使用不当造成的后果上传者概不负责

网站安全之逻辑漏洞检测附漏洞修复方案

...爆出存在高危的逻辑漏洞，该漏洞导致酒店的几亿客户的信息遭泄露，包括手机号，姓名，地址都被泄露，后续带来的损失很大，最近几年用户信息泄露的事件时有发生，给很多企业，酒店都上了一堂生动的安全课。关于网站逻... 查看详情

网站安全之逻辑漏洞检测附网站漏洞修复方案

...爆出存在高危的逻辑漏洞，该漏洞导致酒店的几亿客户的信息遭泄露，包括手机号，姓名，地址都被泄露，后续带来的损失很大，最近几年用户信息泄露的事件时有发生，给很多企业，酒店都上了一堂生动的安全课。关于网站逻... 查看详情

cve-2020-27986(sonarqube敏感信息泄漏)漏洞修复(代码片段)

...台。二、漏洞攻击复现直接访问可以看到很多未授权的api信息http://192.168.11.100:9000/api/settings/values也可以获取接口信息http://192.168.11.100:9000/api/webservices/list  三、漏洞修复该漏洞受影响的版本SonarQube<8.6安全的版本SonarQube>=8... 查看详情

nginx漏洞扫描及修复方案(代码片段)

...级：中缓慢的HTTP拒绝服务攻击是一种专门针对于Web的应用层拒绝服务攻击，攻击者操纵网络上的肉鸡，对目标Web服务器进行海量HTTP请求攻击，直到服务器带宽被打满，造成了拒绝服务。慢速HTTP拒绝服务攻击... 查看详情

如何修复 Java Web 应用程序中通过已发送数据的信息暴露漏洞

】如何修复JavaWeb应用程序中通过已发送数据的信息暴露漏洞【英文标题】：HowtofixInformationExposureThroughSentDataflawinJavaWebapplication【发布时间】：2013-02-0615:05:38【问题描述】：我通过SentData漏洞获得了一个VeracodeInformationExposure。我的... 查看详情

phpinfo()信息泄漏——综合利用提权(代码片段)

PHPInfo()信息泄漏在渗透测试中算是低危漏洞，但怎么进一步利用呢？我自己也稀里糊涂就tm离谱。这种情况在漏洞扫描及渗透测试中经常遇到就是不知道怎么利用，找了网上很多文章都感觉说的不清不楚，自己没... 查看详情

phpinfo()信息泄漏——综合利用提权(代码片段)

PHPInfo()信息泄漏在渗透测试中算是低危漏洞，但怎么进一步利用呢？我自己也稀里糊涂就tm离谱。这种情况在漏洞扫描及渗透测试中经常遇到就是不知道怎么利用，找了网上很多文章都感觉说的不清不楚，自己没... 查看详情

漏洞修复系列如何不安装软件或应用，直接查看软件内依赖包的版本信息？记一次漏洞修复实践分享

1、前景        最近公司运维通过漏洞软件，扫描出一些漏洞。有一些后端相关的软件或Java依赖包漏洞，我这边开始做起了漏洞处理。本次处理的漏洞中，以Nacos中包含的漏洞依赖包为例（以下实践都是与此... 查看详情

漏洞修复ssl/tls协议信息泄露漏洞(cve-2016-2183)(代码片段)

...#xff5e;漏洞简介TLS是安全传输层协议，用于在两个通信应用程序之间提供保密性和数据完整性。TLS,SSH,IPSec协商及其他产品中使用的IDEA、DES及TripleDES密码或者3DES及Triple3DES存在大约四十亿块的生日界，这可使远程攻击者通过... 查看详情

测试网站搭建+渗透+审计之第二篇渗透测试

文章目录0x01信息泄漏漏洞（Swagger接口文档泄露）漏洞描述漏洞利用修复建议0x02未授权访问漏洞漏洞描述漏洞利用修复建议0x03登陆口暴力破解漏洞描述漏洞利用修复建议0x04弱口令漏洞漏洞描述漏洞利用修复建议0x05SQL注入漏洞漏... 查看详情

cve-2021-41277metabase敏感信息泄漏

...您可以通过在反向代理或负载均衡器或WAF中包含规则以在应用程序之前提供验证过滤器来缓解这种情况。<0.40.5和<1.40.5的版本存在漏洞。https://nvd.nist.gov/vuln/detail/CVE-2021-41277使用vulfocus.fofa.so上的环境进行复现，搜索 查看详情

xss分析及预防

...XSS的重点不在于跨站点，而是在于脚本的执行。在WEB前端应用日益发展的今天，XSS漏洞尤其容易被开发人员忽视，最终可能造成对个人信息的泄漏。如今，仍然没有统一的方式来检测XSS漏洞，但是对于前端开发人员而言，仍是可... 查看详情

在 OpenCV 应用程序中，我如何识别内存泄漏的来源并修复它？

】在OpenCV应用程序中，我如何识别内存泄漏的来源并修复它？【英文标题】：InanOpenCVapplication,howdoIidentifythesourceofmemoryleakandfixit?【发布时间】：2011-12-2106:25:48【问题描述】：我的OpenCV应用程序出现内存泄漏。它是一个中等规模的... 查看详情

从csrf到用户信息泄漏，xss和完整帐户接管(代码片段)

...陷的组合。0x01CSRF泄漏用户信息CSRF有时会导致信息泄漏。应用程序经常根据用户偏好发 查看详情

nginx漏洞扫描及修复方案(代码片段)

目录漏洞扫描结果漏洞扫描缓慢的HTTP拒绝服务攻击漏洞等级：中修改建议Nginx修复建议具体nginx配置文件WebSphere修复建议Weblogic修复建议Apache修复建议IHS服务器F5负载均衡修复建议IIS服务器漏洞扫描结果漏洞扫描OSS2.0物联网创... 查看详情

安全牛学习笔记存储型xss漏洞原理及修复方法

存储型XSS 漏洞的原理及修复方法 1.常见的触发场景2.漏洞原理3.漏洞危害4.一些tips5.如何避免&修复漏洞[email protected]:~/controller$vimmissionController.class.php<?phpclassmissionControllerextendsbaseController{ public$va 查看详情

互联网企业安全高级指南读书笔记之漏洞扫描

...部分可以根据扫描报告整改暴露在公网中的高危服务某些应用发现新漏洞时，可以快速从数据库中查询对应服务与版本，报到业务部门修复ACL扫描周期至少一天一次：服务器数量较少，直接用nmap扫描，扫描结... 查看详情

漏洞修复说明

修复操作中漏洞一般可分为应用逻辑类漏洞/应用技术类漏洞/应用相关服务漏洞/其他服务漏洞。 对于web应用本身存在的SQL等技术性漏洞和各类逻辑漏洞，由于应用是自己或厂商开发的要修复一般是直接修改代码完成修复漏洞... 查看详情