偵察發現

• 目標運行 Tomcat 3.1 (由 HTTP Header Servlet-Engine: Tomcat Web Server/3.1 洩露)。
• 嘗試多種路徑遍歷 Payload (../../../../%00.jsp 等) 均失效。

關鍵漏洞：管理介面未移除

訪問 /admin/ 發現 Tomcat 內建管理工具未刪除或禁用。功能包含：查看 Web 目錄結構、新增 Context、部署 Web 應用。

利用過程

1. 點擊「VIEW ALL CONTEXT」列出目錄，發現上傳組件。
2. 上傳 JSP WebShell (test.jsp)，利用 FileInputStream 讀取 /etc/passwd。
3. 嘗試破解密碼失敗，但已具備 JSP Shell 可執行系統指令、管理檔案、掃描內網。

配置錯誤成因

1. 預設管理介面暴露：生產環境未刪除/禁用 /admin、/manager 等內建管理路徑。
2. 版本過舊：Tomcat 3.1 為 2000 年代產品，已無安全更新，存在多已知漏洞 (CVE-2002-XXXX 等)。
3. 部署權限過高：管理介面允許直接部署 WAR/JSP，且執行身分為 Tomcat 進程使用者 (通常為 root 或高權限)。

防禦清單

1. 移除/禁用預設管理介面：刪除 webapps/admin, webapps/manager；或在 server.xml 中註釋相關 Context；或配置 RemoteAddrValve 僅允許管理 IP 存取。
2. 升級至支援版本：Tomcat 3.1 已終止維護，必須遷移至 9.0.x / 10.1.x 並訂閱安全公告。
3. 最小權限執行：Tomcat 以專用低權限使用者 (如 tomcat) 執行；禁用 org.apache.catalina.security.SecurityManager 以外的高危 API。
4. 部署 WAF/應用防火牆：針對 /admin, /manager, /host-manager 等敏感路徑實施存取控制與攻擊特徵攔截。
5. 定期掃描與審計：使用工具 (如 Nikto, OWASP ZAP) 掃描預設路徑、版本洩露、錯誤配置。

總結

Tomcat 3.1 管理介面預設開放是經典配置錯誤。現代容器化部署 (Docker/K8s) 更應在映像建構階段移除管理介面、掃描漏洞、落實最小權限，避免歷史錯誤重演。