1. 项目概述从“笔记”到“实战手册”的蜕变看到这个标题很多刚入行安全的朋友可能会觉得这又是一份枯燥的漏洞列表和复现步骤的堆砌。但在我十多年的渗透测试和红队评估经历里中间件安全从来不是背几个CVE编号和Exp那么简单。它更像是一场与运维习惯、默认配置和版本迭代的无声博弈。这份“培训笔记”的价值不在于它记录了多少个漏洞而在于它能否帮你建立起一套面对IIS、Apache、Tomcat、Nginx这些“老熟人”时系统性的攻击视角和防御思路。今天我就以一线实战的视角重新拆解这份笔记把它从一个静态的记录变成一份动态的“攻防实战手册”。我们不仅要复现漏洞更要理解漏洞背后的成因、在真实网络中的分布形态以及如何将这些知识转化为有效的防御策略和持续监控能力。2. 核心思路构建以资产为核心的中间件攻防矩阵传统的学习路径往往是按照漏洞类型如反序列化、文件上传或中间件种类来划分这容易导致知识碎片化。我的思路是构建一个“资产-漏洞-利用-检测”的四维矩阵。核心是“资产”也就是我们面对的那台运行着特定版本中间件的服务器。一切动作都从这里开始。2.1 资产识别与信息收集一切始于“看见”在发起任何测试之前你必须先“看见”目标。对于中间件信息收集的粒度决定了后续攻击的精度。1. 指纹识别不止于Banner使用工具如WhatWeb、Wappalyzer或nmap的http-enum脚本可以快速识别中间件类型和版本。但实战中很多企业会对Banner信息进行修改或隐藏。这时就需要依靠更深层的指纹静态文件特征访问特定的默认路径如/icons/README、/tomcat-docs/等。错误页面特征触发一个404或500错误观察返回页面的样式和内容Tomcat、Nginx、IIS的错误页面风格迥异。Header字段除了Server头关注X-Powered-By、X-AspNet-Version等字段。但请注意这些同样可以被修改。2. 版本比对与漏洞关联识别出版本后立刻在脑海中或利用本地知识库进行关联。例如看到Apache Tomcat/8.5.19应立即想到CVE-2017-12615PUT方法上传漏洞影响版本 8.5.19, 9.0.0.M1 to 9.0.0.M17。CVE-2020-1938Ghostcat AJP文件读取/包含漏洞影响版本 6., 7. 7.0.100, 8.* 8.5.51, 9.* 9.0.31。 这不是死记硬背而是需要建立一张动态的关联表。我通常会维护一个简单的本地Markdown表格或利用searchsploit快速查询。实操心得在自动化扫描器给出结果后一定要手动验证。我曾遇到一个目标扫描器报告是Nginx 1.18但实际访问/phpinfo.php一个不存在的路径时返回的错误信息却暴露了底层其实是Apache 2.4.49这是因为Nginx被配置为Apache的反向代理。这种架构信息对寻找特定漏洞如CVE-2021-41773至关重要。2.2 漏洞复现的“环境哲学”从VulnHub到DIY复现漏洞首要的是环境。很多人卡在第一步。我的建议是分层搭建环境1. 快速验证层使用现成靶场对于主流漏洞VulnHub、Vulhub、DVWA等集成环境是首选。它们能让你在几分钟内拉起一个漏洞环境专注于理解漏洞原理和利用过程。例如复现Apache HTTPd的CVE-2021-41773直接使用Vulhub的docker-compose文件是最快的。2. 深度研究层手动搭建特定版本当你想深入研究漏洞的根因、尝试绕过补丁或编写检测脚本时必须手动搭建环境。以Tomcat为例# 1. 从Apache Archive下载特定版本Tomcat wget https://archive.apache.org/dist/tomcat/tomcat-8/v8.5.19/bin/apache-tomcat-8.5.19.tar.gz # 2. 解压并配置 tar -xzf apache-tomcat-8.5.19.tar.gz cd apache-tomcat-8.5.19/conf # 3. 关键根据漏洞条件调整配置。例如对于CVE-2017-12615需要检查web.xml中是否禁用了PUT方法。 vi web.xml # 查找并确认 init-paramparam-namereadonly/param-nameparam-valuefalse/param-value/init-param 是否存在或被设置为true。 # 4. 启动 cd ../bin ./startup.sh手动搭建能让你清晰看到默认配置是什么漏洞触发的必要条件是什么这是理解漏洞本质的关键。3. 网络环境模拟层有些漏洞与网络架构相关如Nginx的配置错误导致目录穿越或AJP协议Tomcat暴露在公网。你需要模拟出类似的网络拓扑。可以使用Docker Compose来构建一个简单的“Nginx - Tomcat”的反向代理架构来复现Ghostcat漏洞在特定配置下的利用场景。3. 核心中间件漏洞深度解析与实战复现接下来我们挑选每个中间件最具代表性的1-2个漏洞不仅复现步骤更深入其肌理。3.1 IISInternet Information Services解析与权限的陷阱IIS的漏洞常围绕文件解析机制和权限配置展开。CVE-2015-1635HTTP.sys远程代码执行漏洞本质这不是IIS应用层的漏洞而是Windows HTTP协议栈驱动HTTP.sys的整数溢出漏洞。影响范围极广只要启用IIS 7.5以上的Windows服务器都可能中招。复现关键利用MS15-034漏洞发送一个特殊的Range头报文导致系统蓝屏BSOD或潜在的内存信息泄露。# 使用curl检测注意此检测可能导致目标系统重启 curl -v http://target/ -H Host: irrelevant -H Range: bytes0-18446744073709551615实战意义这个漏洞的复现教会我们威胁面不仅在于应用本身更在于其依赖的底层组件。在资产梳理时操作系统版本和组件版本同样重要。IIS 6.0 文件解析漏洞CVE-2015-1635之外的老漏洞漏洞本质IIS 6.0在解析文件名时存在歧义例如将*.asp;.jpg这样的文件仍当作ASP脚本来执行。复现步骤准备一个包含ASP木马代码的图片文件命名为shell.asp;.jpg。通过文件上传功能需存在或利用其他漏洞如目录遍历将其上传到服务器可执行目录。直接访问http://target/upload/shell.asp;.jpg服务器会以ASP脚本执行该文件。深度思考这类解析漏洞在后续版本的IIS中已修复但在遗留系统Legacy System中依然大量存在。它提醒我们在攻防演练或渗透测试中对老旧系统的检测权重应该提高。3.2 Apache HTTP Server配置错误与模块缺陷Apache的漏洞多出现在其模块和路径解析逻辑上。CVE-2021-41773 / CVE-2021-42013路径穿越与RCE这是近年来Apache最严重的漏洞之一。漏洞本质在Apache 2.4.49/2.4.50中由于对路径规范化处理的缺陷攻击者可以利用.%2e或%%32%65等编码形式绕过路径检查实现目录穿越读取Web目录外的文件。如果mod_cgi模块被启用甚至可以远程执行命令。复现环境使用Vulhub的CVE-2021-41773环境最快。复现与利用# 1. 检测/读取任意文件如/etc/passwd curl -v --path-as-is http://target/icons/.%2e/%2e%2e/%2e%2e/%2e%2e/etc/passwd # 2. 如果启用了mod_cgi尝试RCE。需要先找到一个可写的CGI目录或脚本。 # 假设/cgi-bin/目录存在且可执行 curl -v --data echo; whoami http://target/cgi-bin/.%2e/%2e%2e/%2e%2e/bin/sh配置根源漏洞触发需要一个关键配置Directory / ... Require all granted /Directory。这意味着Apache对根目录“/”授予了访问权限。在加固时必须避免对根目录使用Require all granted而应严格限定到具体的Web目录。Apache Struts2 系列漏洞S2-045, S2-057等虽然Struts2是框架但常部署于Apache之上。其漏洞尤其是OGNL表达式注入危害极大。实战要点Struts2漏洞利用的成功率高度依赖于找到有效的action或namespace路径。这需要结合目录爆破、分析JS文件中的URL、或从错误信息中搜集线索。工具使用Struts2-Scan这类工具能自动化检测但手动验证时理解Payload的构造原理如%{#_memberAccess[“allowStaticMethodAccess”]true}对于绕过WAF或变种检测至关重要。3.3 Tomcat管理接口与协议之殇Tomcat的漏洞主要集中在管理后台、AJP协议和文件处理逻辑。CVE-2020-1938Ghostcat漏洞本质Tomcat AJP协议默认端口8009存在设计缺陷攻击者可通过AJP协议读取Web应用目录下的任意文件如WEB-INF/web.xml在特定条件下甚至可实现文件包含执行代码。复现条件Tomcat AJP Connector开启默认配置即开启。攻击者能够访问到AJP端口8009。注意此端口通常在内网若被错误地暴露在公网风险极大。利用工具使用ghostcat.pyCNVD-2020-10487工具。python3 ghostcat.py target_ip -p 8009 -f WEB-INF/web.xml防御视角这个漏洞是“内部服务外部化”风险的典型。必须通过防火墙严格限制AJP端口8009仅能被必要的后端服务如前端Nginx访问绝不允许暴露在互联网或非信任区域。CVE-2017-12615PUT方法上传漏洞漏洞本质当Tomcat配置了readonlyfalse且存在某些特定配置时允许通过HTTP PUT方法上传文件。结合Tomcat对/filename.jsp/末尾带斜杠的解析特性可绕过jsp文件上传限制上传Webshell。复现关键确认目标存在漏洞通常通过OPTIONS方法探测支持PUT。利用Burp Suite发送PUT请求PUT /shell.jsp/ HTTP/1.1 Host: target:8080 Content-Length: 100 % out.println(Hello, Vuln); %访问/shell.jsp不带斜杠执行代码。配置溯源漏洞根源在于conf/web.xml中对于DefaultServlet的配置。安全配置应确保readonly参数为true。3.4 Nginx配置错误与解析歧义Nginx本身的高危CVE相对较少但其强大的灵活性和复杂的配置使得配置错误成为最大的安全隐患。错误配置目录穿越漏洞模拟以下是一个危险的Nginx配置片段location /files/ { alias /home/user/static/; # 缺少至关重要的 autoindex off; 和正确的权限控制 }如果访问http://target/files../etc/passwdNginx可能会将路径解析为/home/user/static/../etc/passwd即/home/user/etc/passwd如果static目录权限过宽可能导致穿越。更常见的是alias后忘记加/或root指令使用不当。加固方法使用root指令代替alias除非你非常清楚alias的行为。为静态资源location块设置autoindex off;。使用$request_filename变量进行严格的路径校验通过if指令但需谨慎使用if。错误配置CRLF注入漏洞本质如果Nginx配置中使用了$uri或$document_uri变量来构造重定向或代理头且未经过滤攻击者可能注入CRLF\r\n来注入额外的HTTP响应头或分割响应。# 不安全的配置示例 location / { return 302 https://$host$uri; }攻击者可能访问http://target/%0d%0aSet-Cookie:injected1导致在响应中注入一个Cookie头。加固方法在涉及用户输入构造HTTP头时使用$request_uri经过编码的原始URI通常比$uri解码后的URI更安全但仍需进行验证。解析漏洞与PHP-FPM相关的解析歧义经典场景Nginx PHP-FPM架构下如果配置不当会导致将*.jpg文件当作PHP解析。location ~ \.php$ { fastcgi_pass php-fpm:9000; include fastcgi_params; } location ~* \.(jpg|png|gif)$ { # 没有单独处理或者被上面的php location块优先匹配 }如果上传一个文件名为shell.jpg但内容包含PHP代码并且访问/shell.jpg/foo.phpNginx可能会将请求传递给PHP-FPM而PHP-FPM根据SCRIPT_FILENAME最终执行了shell.jpg。加固方法确保对图片等静态文件的location块有明确的处理并优先于PHP的location块匹配或者使用try_files指令明确文件存在性检查。4. 从复现到实战攻击链构建与防御思考单纯的漏洞复现只是第一步。真正的能力体现在如何将孤立的漏洞点串联成有效的攻击链并站在防御者角度思考如何阻断。4.1 构建攻击链一个模拟案例假设在一次授权测试中我们发现目标外网IP开放了8080端口运行着Apache Tomcat/8.5.19。信息收集扫描发现/manager/html管理页面存在但需要凭证。尝试默认口令tomcat:tomcat、admin:admin等失败。漏洞探测检查PUT方法CVE-2017-12615。发送OPTIONS请求发现支持PUT。漏洞利用尝试利用PUT上传Webshellshell.jsp/返回201 Created成功权限提升通过Webshell执行命令发现当前权限是Tomcat服务账户权限较低。开始信息收集查看网络配置、进程列表、有无数据库连接字符串等。横向移动在Tomcat服务器的conf/目录下发现了context.xml文件其中包含内网另一台数据库服务器的明文连接密码。利用数据库通过Webshell建立的隧道连接内网数据库。发现数据库中存在其他系统的用户表部分密码为弱哈希MD5破解后获得一组凭证。扩大战果利用这组凭证成功登录内网的一个Jira系统同样存在历史漏洞最终获取到核心代码仓库权限。这个链条的核心在于初始漏洞Tomcat PUT - 获取立足点Webshell - 信息收集配置文件 - 凭证获取数据库密码 - 横向移动重用密码。每一个环节都依赖于对中间件及其环境的深入理解。4.2 防御体系构建纵深防御策略对应攻击链防御也需要层层布防1. 资产管理与最小化原则清单维护所有中间件的资产清单包括版本、端口、配置路径、部署位置。升级建立漏洞预警机制及时修复或升级到安全版本。对于无法升级的寻找官方补丁或临时缓解措施。收缩关闭非必要的服务如Tomcat AJP端口、禁用危险方法PUT、DELETE等、删除默认应用和示例文件。2. 安全配置加固权限遵循最小权限原则。运行中间件的系统账户应仅拥有必要权限严禁使用root或Administrator。配置参考CIS Benchmarks等安全基线对IIS、Apache、Nginx、Tomcat进行配置加固。例如Apache确保Require all granted不用于根目录限制TraceEnable为Off。Nginx避免不安全的alias使用正确配置$uri和$request_uri。Tomcat管理后台强制使用强密码并限制访问IP设置readonlytrue。网络使用防火墙严格限制访问源将管理后台、AJP等端口限制在内网访问。3. 持续监控与检测日志审计集中收集和分析中间件访问日志、错误日志。关注异常请求模式如大量404扫描、特定漏洞利用Payload如.%2e、成功登录管理后台的日志。WAF/IDS部署Web应用防火墙或入侵检测系统配置规则拦截已知的漏洞利用请求。HIDS在服务器上安装主机入侵检测系统监控Web目录下的文件异动如新增.jsp,.war文件、异常进程启动如cmd.exe,/bin/bash通过Web请求调用。4. 渗透测试与演练常态化定期对自身的中间件服务进行渗透测试或漏洞扫描模拟攻击者视角发现问题。红蓝对抗通过内部红队演练检验防御体系的有效性和应急响应流程。5. 常见问题排查与工具使用心得在实际操作中你会遇到各种各样的问题。这里记录几个高频问题的解决思路。问题1漏洞复现环境搭建失败服务启动报错。可能原因端口冲突、依赖缺失、配置语法错误、权限不足。排查步骤查日志第一时间查看中间件的错误日志文件如Tomcat的catalina.out或logs/catalina.[date].log。看端口使用netstat -tlnp或lsof -i:[port]检查端口是否被占用。验配置对于Apache/Nginx使用apachectl -t或nginx -t测试配置文件语法。权限确保启动用户对日志目录、临时目录等有写入权限。问题2EXP执行成功但未达到预期效果如命令执行没回显。可能原因防火墙/安全组策略、命令被过滤、Webshell路径访问错误、权限限制。排查步骤网络层尝试用Webshell执行ping或curl命令测试到外网的通畅性判断是否出网被阻。命令层尝试使用不同的命令执行方式。例如在Java WebShell中Runtime.exec()有时对复杂管道支持不好可以尝试编码命令或使用ProcessBuilder。路径与权限确认上传的Webshell文件确实在Web可访问目录下并且Tomcat进程用户有执行权限。可以尝试先写入一个简单的文本文件来确认路径。问题3扫描器报告了漏洞但手动验证无法复现。可能原因扫描器误报、漏洞已被临时缓解如WAF拦截、环境差异、利用条件不满足。排查步骤深度分析Payload仔细对比扫描器发送的Payload和你手动构造的Payload是否有细微差别如Header顺序、编码方式。查看响应对比扫描器报告的成功响应特征和你收到的实际响应。有时服务器返回了错误但扫描器错误地解析为成功。检查缓解措施查看服务器是否有WAF、IDS的拦截页面检查中间件是否应用了非版本升级的补丁如httpd.conf中的mod_security规则。工具使用心得Nmap不仅是端口扫描。http-enum、http-vuln-*等NSE脚本是信息收集和漏洞初筛的利器。但脚本运行可能产生大量流量在隐蔽测试时需谨慎。Burp Suite手动测试的核心。熟练使用Repeater、Intruder、Scanner模块。对于漏洞复现在Repeater中精心构造和调试一个请求比跑一堆自动化工具更有效。Metasploit对于某些复杂的漏洞如Struts2MSF的模块稳定性高利用成功率高适合在获得授权后快速验证危害。但依赖MSF也容易让人忽视漏洞原理。自定义脚本随着经验增长你会发现自己经常需要写一些Python脚本来完成特定任务比如批量检测某个配置错误、解析特定格式的日志以寻找攻击痕迹。这是能力进阶的标志。最后我想说的是中间件安全的学习是一个“从面到点再从点到面”的过程。先从整体上了解每种中间件的架构、基本配置和常见漏洞类型面然后深入复现每一个关键CVE理解其代码级原理点最后再回到整体思考在复杂的网络环境中如何发现、利用和防御这些漏洞形成自己的知识体系和实战方法论新的面。这份笔记是一个起点真正的价值在于你通过动手实践在其中添加属于自己的“踩坑记录”和“实战案例”。安全之路没有捷径唯手熟尔。