被黑客入侵的Apache Tomcat服務器有哪些危險？

Question

如果Tomcat7（在Ubuntu 12.x上）被攻擊（由弱用戶名/密碼引起），黑客能夠做什麼？當然他可以部署.war檔案。

但是： 他就可以得到完整的文件系統訪問？ 他可以更改tomcat/FTP/Ubuntu管理員密碼嗎？ 還是沒有限制？

Answer 1

如果你正在談論的Tomcat管理應用程序（即你可以用它來部署新的web應用）弱密碼：嗯 - 你能想象所謂的「遠程文件瀏覽器」 Web應用程序？或「遠程外殼」？基本上，如果您可以將代碼上傳到執行的服務器，則幾乎沒有限制。

好了，限制由管理員設置：爪哇（與它的Tomcat），可以在沙箱/安全管理器運行。我其實並不知道這樣做的許多安裝。另外，很多tomcat安裝都以root用戶身份運行 - 如果您失去對這種實例的控制權，您就會敬酒。

所以你問的問題是：「它是危險的，當攻擊者可以在我的服務器上運行任意代碼？」我不願透露這一點，但答案是「是」。

比如Tomcat的，我覺得管理器應用程序是很好的調試，但不是你想在生產系統上部署的東西，走向世界是可見的。但這只是硬化過程中的一小部分。

哦，雖然它可能不完全適合在這種情況下，但你可能想看看Java/Tomcat hacked，我只是發現這個滾動 - 一個很好的替代弱密碼的弱點。