文件包含

Tomcat 默认开启的 AJP 协议连接器未对请求属性做来源校验，攻击者可通过 AJP 端口构造包含属性，读取 Web 应用目录下的任意文件，配合文件上传可实现远程代码执行。CVSS 9.8，影响 Tomcat 6.x、7.x < 7.0.100、8.x < 8.5.51、9.x < 9.0.31。本文基于 Vulhub 靶场复现文件读取并分析 AJP 协议缺陷。