Tomcat

Spring Framework 的参数绑定机制允许通过 class.module.classLoader 路径访问 JDK 9+ 新增的 Module 对象，绕过原有黑名单，篡改 Tomcat 的 AccessLogValve 日志配置，将访问日志写入 Web 目录并命名为 .jsp 文件，生成持久化 Webshell。CVSS 9.8，影响 Spring Framework < 5.3.18 / < 5.2.20 且运行于 JDK 9+ 与 Tomcat 的场景。本文基于 Vulhub 靶场复现并拆解利用链。

Tomcat 默认开启的 AJP 协议连接器未对请求属性做来源校验，攻击者可通过 AJP 端口构造包含属性，读取 Web 应用目录下的任意文件，配合文件上传可实现远程代码执行。CVSS 9.8，影响 Tomcat 6.x、7.x < 7.0.100、8.x < 8.5.51、9.x < 9.0.31。本文基于 Vulhub 靶场复现文件读取并分析 AJP 协议缺陷。