从外部对 tomcat 服务器的思考

Question

作为挑战的一部分，我想使用反射来获取有关 tomcat 服务器上代码 运行 的信息，如 *.jsp。 （假设服务器没有配置得非常安全并允许这样做）。

Google 完全没有关于 tomcat 和外界反映的答案。

我想我可能必须将它与远程过程调用或类似的东西结合起来。有什么想法吗？

Answer 1

您不会仅仅因为 Java 有反射就获得免费漏洞利用。

反射（如 java.lang.reflect.*）仅在内部起作用。在 JVM 进程中执行的代码可以推理相同上下文中的其他代码 运行，IOW，程序可以自我反思。

您需要能够将间谍代码注入服务器的 java 进程。

幸运的是，服务器通常不允许您这样做，即使是配置不当的服务器也不允许 - 除非存在像 CVE-2013-4444 这样的远程代码执行漏洞。

你也不能那么容易地滥用远程过程调用。首先，程序员必须放置一个可远程调用的过程。并且默认有none。但是假设你发现某些东西由于某种原因不受保护，你仍然只能调用那个过程，而不是你选择的任意代码。如果可以，您可能已经发现了一个漏洞。