suchen
HeimBetrieb und InstandhaltungSicherheitSo beheben Sie die Sicherheitslücke bei der Remote-Befehlsausführung in der Apache-Achsenkomponente

So beheben Sie die Sicherheitslücke bei der Remote-Befehlsausführung in der Apache-Achsenkomponente

Kürzlich hat Sangfor eine Schwachstelle bezüglich der Remote-Befehlsausführung in der Apache-Achsenkomponente entdeckt. Der Kern dieser Sicherheitsanfälligkeit liegt in der Fehlkonfiguration von AdminService durch den Administrator. Wenn das Attribut enableRemoteAdmin auf „true“ gesetzt ist, kann der Angreifer die erstellte WebService-Schnittstelle aus der Ferne veröffentlichen Die referenzierte Klasse kann Sicherheitslücken bei der Remote-Befehlsausführung ausnutzen.

Einführung in die Achsenkomponente

Der vollständige Name der Achse Apache EXtensible Interaction System ist das skalierbare interaktive Apache-System. axis bietet das Grundgerüst für die Erstellung serverseitiger, clientseitiger und Gateway-SOAP-Operationen. Die aktuelle Version von axis ist hauptsächlich für Java gedacht und die Version für C++ befindet sich in der Entwicklung. axis ist nicht unbedingt eine SOAP-Engine, kann aber auch als eigenständiger SOAP-Server und als in eine Servlet-Engine (z. B. Tomcat) eingebetteter Server verwendet werden.

Schwachstellenanalyse

Der Kern der Schwachstelle ist der Konfigurationsfehler des Administrators von AdminService. Wenn das Attribut „enableRemoteAdmin“ auf „true“ gesetzt ist, kann der Angreifer WebService konstruieren, um die Klasse freemarker in der Komponente template.utility.Execute aufzurufen, die AdminService-Schnittstelle remote zum Veröffentlichen von WebService zu verwenden, erneut auf die generierte WebService-Schnittstelle zuzugreifen und die zu übergeben Der auszuführende Befehl kann durch Schwachstellen bei der Remote-Befehlsausführung ausgenutzt werden.

Wiederkehr der Sicherheitslücke

Erstellen Sie die Umgebung axis 1.4+tomcat6 und setzen Sie das Attribut „enableRemoteAdmin“ in der AdminService-Konfiguration auf „true“.

Geben Sie die erstellten Daten für die WebService-Veröffentlichung ein, wie unten gezeigt:

So beheben Sie die Sicherheitslücke bei der Remote-Befehlsausführung in der Apache-Achsenkomponente

Rufen Sie dann die WebService-Schnittstelle auf, um den Befehl zu übergeben und auszuführen, wie unten gezeigt :

So beheben Sie die Sicherheitslücke bei der Remote-Befehlsausführung in der Apache-Achsenkomponente

Reparaturvorschläge

1. Konfigurieren Sie die URL-Zugriffskontrollrichtlinie: Der auf dem bereitgestellte Achsenserver Auf das öffentliche Netzwerk kann über zugegriffen werden. Die ACL verbietet den Zugriff auf die Pfade /services/AdminService und /services/FreeMarkerService.

2. Deaktivieren Sie die Fernverwaltungsfunktion der Achse: Bei der Version WEB-INF im Ordner server-config.wsdd im Achsenverzeichnis ändern und den Wert von „enableRemoteAdmin“ auf „false“ setzen.

Um mehr über Web-Sicherheit zu erfahren, besuchen Sie bitte: Webserver-Sicherheit

Das obige ist der detaillierte Inhalt vonSo beheben Sie die Sicherheitslücke bei der Remote-Befehlsausführung in der Apache-Achsenkomponente. Für weitere Informationen folgen Sie bitte anderen verwandten Artikeln auf der PHP chinesischen Website!

Stellungnahme
Dieser Artikel ist reproduziert unter:安全脉搏. Bei Verstößen wenden Sie sich bitte an admin@php.cn löschen

Heiße KI -Werkzeuge

Undresser.AI Undress

Undresser.AI Undress

KI-gestützte App zum Erstellen realistischer Aktfotos

AI Clothes Remover

AI Clothes Remover

Online-KI-Tool zum Entfernen von Kleidung aus Fotos.

Undress AI Tool

Undress AI Tool

Ausziehbilder kostenlos

Clothoff.io

Clothoff.io

KI-Kleiderentferner

AI Hentai Generator

AI Hentai Generator

Erstellen Sie kostenlos Ai Hentai.

Heißer Artikel

R.E.P.O. Energiekristalle erklärten und was sie tun (gelber Kristall)
3 Wochen vorBy尊渡假赌尊渡假赌尊渡假赌
R.E.P.O. Beste grafische Einstellungen
3 Wochen vorBy尊渡假赌尊渡假赌尊渡假赌
R.E.P.O. So reparieren Sie Audio, wenn Sie niemanden hören können
3 Wochen vorBy尊渡假赌尊渡假赌尊渡假赌
WWE 2K25: Wie man alles in Myrise freischaltet
4 Wochen vorBy尊渡假赌尊渡假赌尊渡假赌

Heiße Werkzeuge

PHPStorm Mac-Version

PHPStorm Mac-Version

Das neueste (2018.2.1) professionelle, integrierte PHP-Entwicklungstool

Senden Sie Studio 13.0.1

Senden Sie Studio 13.0.1

Leistungsstarke integrierte PHP-Entwicklungsumgebung

SAP NetWeaver Server-Adapter für Eclipse

SAP NetWeaver Server-Adapter für Eclipse

Integrieren Sie Eclipse mit dem SAP NetWeaver-Anwendungsserver.

SublimeText3 Mac-Version

SublimeText3 Mac-Version

Codebearbeitungssoftware auf Gottesniveau (SublimeText3)

VSCode Windows 64-Bit-Download

VSCode Windows 64-Bit-Download

Ein kostenloser und leistungsstarker IDE-Editor von Microsoft