Tomcat7 (Ubuntu 12.x 上) がハッキングされた場合 (脆弱なユーザー名/パスワードが原因)、ハッカーは何ができますか? もちろん、彼は .war アーカイブを展開できます。
しかし: 彼は完全なファイル システムにアクセスできますか? 彼は tomcat/FTP/ubuntu の管理者パスワードを変更できますか? それともまったく制限はありませんか？
質問する
3434 次
1 に答える
4
Tomcat マネージャー アプリケーション (新しい Web アプリケーションのデプロイに使用できる) の脆弱なパスワードについて話している場合: 「リモート ファイル エクスプローラー」と呼ばれる Web アプリケーションを想像できますか? または「リモートシェル」？基本的に、実行されるサーバーにコードをアップロードできれば、ほとんど制限はありません。
制限は管理者によって設定されます。Java (および Tomcat を使用) は、サンドボックス/セキュリティ マネージャーで実行できます。私は実際にこれを行う多くのインストールを知りません。また、かなりの数の tomcat インストールが root ユーザーとして実行されます。そのようなインスタンスを制御できなくなった場合、乾杯します。
つまり、「攻撃者がサーバー上で任意のコードを実行できるのは危険ですか?」という質問です。これを明らかにしたくありませんが、答えは「はい」です。
tomcat の時点で、マネージャー アプリケーションはデバッグには適していると思いますが、実稼働システムにデプロイして世界に公開するものではありません。しかし、それは硬化プロセスのごく一部にすぎません。
ああ、それはこのコンテキストに正確には当てはまらないかもしれませんが、Java/Tomcat hackedを見たいと思うかもしれませんが、このスクロールを見つけたところです - 脆弱なパスワードに代わる素晴らしい脆弱性です.
于 2013-05-07T20:12:47.100 に答える