Apache Tomcat Manager Schwachstelle
Version vom 28. August 2024, 14:57 Uhr von Thomas.will (Diskussion | Beiträge) (→Details zur Schwachstelle: Apache Tomcat Manager)
Details zur Schwachstelle: Apache Tomcat Manager
Schwachstelle: Unsichere Standardkonfigurationen oder schwache Anmeldeinformationen für den Tomcat Manager (/manager/html).
Angriffspunkt: Durch Brute-Forcing oder Verwendung einer bekannten Liste von Standardbenutzern und -passwörtern kann ein Angreifer Zugang zum Tomcat Manager erhalten.
Ausnutzung: Wenn ein Angreifer Zugriff auf den Tomcat Manager erhält, kann er eine .war-Datei (Web Application Archive) hochladen, die schädlichen Code enthält. Beim Deployment wird der Code ausgeführt, was zu einer Remote Code Execution (RCE) auf dem Server führt.
Schritte zur Ausnutzung
- Brute-Force-Angriff auf den Apache Tomcat Manager durchführen, um Anmeldeinformationen zu finden.
- War-Datei hochladen: Eine .war-Datei (Webarchiv) erstellen, die einen Reverse Shell-Payload enthält.
- Shell erlangen: Nach erfolgreichem Deployment der .war-Datei kann der Angreifer eine Shell-Verbindung zur Zielmaschine herstellen.
Warum ist diese Schwachstelle gefährlich?
- Remote Code Execution (RCE) ermöglicht es einem Angreifer, beliebige Befehle auf dem Zielsystem auszuführen.
- Der Angreifer kann weitere Privilegien eskalieren, Dateien herunterladen/hochladen, Keylogger installieren, persistente Backdoors einrichten, und vieles mehr.
- Diese Schwachstelle wird häufig in älteren und schlecht konfigurierten Umgebungen gefunden, insbesondere wenn Standardanmeldeinformationen verwendet werden.
Vorbereitung
User und Passwortlisten
- vi /usr/share/wordlists/tomcat_users.txt
tomcat admin manager role1 role
- gunzip /usr/share/wordlists/rockyou.txt.gz