免责声明本文仅供授权渗透测试、红蓝对抗、网络安全学习研究全部实验操作务必在自建隔离靶场完成。未经授权对公网业务实施漏洞利用属于违法行为请严格遵守网络安全相关法律法规。前言在护网行动、SRC 挖掘、内网渗透实战中Java 中间件一直是红队最主要的突破口。Tomcat、Weblogic、Jetty 三款中间件在政企、金融、制造业系统大量部署历史爆出大量未授权访问、文件上传、反序列化 RCE、协议漏洞。很多运维人员只打部分补丁、忽略危险协议端口、保留默认配置导致漏洞依然大量存活。很多安全学习者只会简单跑 POC不理解漏洞前置条件、流量特征、绕过限制真实环境经常 POC 跑成功却拿不到 Shell。本文万字复盘三款主流 Java 中间件高危漏洞包含原理、复现步骤、红队实战踩坑、流量特征、蓝队检测加固。覆盖文件上传、AJP 协议漏洞、T3/IIOP 反序列化、XMLDecoder、路径穿越、HTTP 请求走私等高频考点。适合 Web 渗透、护网红队、安全运维学习。ATTCK 映射T1190 利用面向公众的应用漏洞T1210 漏洞利用横向移动。一、Apache Tomcat 漏洞合集实战复盘Tomcat 是开源轻量级 Servlet 容器广泛用于中小型 Java Web 项目。常见端口 8080HTTP、8009AJP 协议。很多业务会把 8009 端口直接暴露公网带来严重安全风险。Tomcat 漏洞主要分为PUT 文件上传、AJP 协议文件读取包含、管理后台弱口令、Session 反序列化、信息泄露。1.1 CVE‑2017‑12615 PUT 文件上传漏洞漏洞原理Tomcat 的 Default Servlet 配置readonlyfalse时允许使用 HTTP PUT 方法直接向服务器写入任意文件。攻击者直接 PUT 上传 JSP Webshell访问即可执行命令。注意Tomcat 默认 readonly 为 true漏洞需要人为修改配置才会触发但是大量测试环境、外包项目会开启写权限。受影响版本Tomcat7.0.0‑7.0.81复现 PayloadPUT /shell.jsp HTTP/1.1 Host: 127.0.0.1:8080 Content‑Length:30 %Runtime.getRuntime().exec(request.getParameter(cmd));%发送 PUT 请求上传 shell.jsp访问/shell.jsp?cmdwhoami即可执行系统命令。绕过技巧当直接上传.jsp被 WAF 拦截可以使用后缀变形shell.jsp/部分 Tomcat 会忽略末尾斜杠保存为 shell.jsp 文件。实战踩坑默认配置 readonlytrue直接返回 403漏洞不存在Nginx 反向代理场景很多 Nginx 会直接丢弃 PUT、DELETE 方法漏洞无法触发上传成功但目录没有执行权限JSP 无法解析Windows 环境文件名特殊字符会导致上传失败。1.2 CVE‑2020‑1938 GhostcatAJP 协议文件读取 / 文件包含漏洞原理Tomcat AJP 协议8009 端口存在漏洞攻击者构造恶意 AJP 数据包读取 Web 目录下任意文件同时可以把任意文件当做 JSP 解析执行代码。高危场景如果网站存在文件上传点上传图片马通过 Ghostcat 把图片文件当做 JSP 解析直接 RCE。不需要 HTTP 端口只要 8009 端口对外开放就可以攻击。受影响版本Apache Tomcat 6、7 7.0.100、88.5.51、99.0.31利用工具ajp‑shooter发送 AJP 协议数据包。读取 WEB‑INF/web.xml 配置文件 payloadajp‑shooter.py 目标ip 8009 /WEB‑INF/web.xml可以读取源码、数据库配置文件、WEB‑INF 下的 class 字节码文件。RCE 利用条件单独 Ghostcat 只能读文件不能直接写文件 RCE。必须满足下面其中一条业务本身存在文件上传漏洞上传图片马AJP 协议包含该图片文件当做 JSP 解析存在其他漏洞可以写入文件再用 AJP 解析执行。红队实战公网经常扫到 8009 开放只能读取配置文件没有上传点只能信息搜集无法直接拿 Shell。内网遇到上传业务才可以组合 RCE。防护方式不需要 AJP 协议直接注释 ajp 连接器关闭 8009 端口开启 AJP 协议的情况下配置secretRequiredtrue设置 AJP 密钥。1.3 Tomcat 管理后台弱口令漏洞Tomcat 管理页面路径/manager/html需要账号密码登录。登录之后可以上传 war 包直接部署获取 Webshell。默认账号配置文件conf/tomcat‑users.xml。常见弱口令组合admin/admintomcat/tomcatadmin/(空密码)实战步骤访问/manager/html弹出 401 认证弹窗爆破弱口令上传 war 包war 包内部放置 jsp 木马访问部署应用路径执行命令。实战坑点很多运维修改 manager 访问地址增加 IP 白名单外部 IP 访问 403 拒绝。此时就算拿到账号密码也无法登录后台。1.4 CVE‑2025‑24813 Tomcat Session 持久化反序列化漏洞漏洞原理Tomcat 开启 session 持久化存储到磁盘Default Servlet 开启 readonlyfalse支持 partial PUT 部分上传请求。攻击者 PUT 写入恶意序列化 session 文件Tomcat 读取 session 文件触发 Java 反序列化如果 classpath 存在 CC 等利用链 gadget实现 RCE。触发全部前置条件Default Servlet readonlyfalse 开启写权限partial PUT 请求支持新版本默认开启开启 FileStore 会话持久化项目依赖存在反序列化 gadgetcommons‑collections。条件苛刻公网真实环境并不多但是护网靶场经常出现。受影响版本9.0.x 9.0.9910.1.x10.1.3511.0.x11.0.21.5 Tomcat 常见信息泄露报错页面泄露绝对路径、类名版本/examples示例目录没有删除泄露测试页面/docs文档目录对外暴露版本 banner 泄露响应头 X‑Powered‑By 泄露版本。Tomcat 红队测试清单探测 8080、8009 端口是否对外开放测试 PUT 方法是否允许写入文件使用 ajp‑shooter 测试 Ghostcat 读取 WEB‑INF 配置访问 manager 管理后台测试弱口令、IP 访问限制识别 Tomcat 版本对照 CVE 比对检查 examples、docs 示例目录是否存在。二、Weblogic 高危漏洞红队复盘Oracle Weblogic 是重量级 JavaEE 中间件多用于政企金融大型业务默认端口 7001HTTPT3 协议 7001 端口复用IIOP 协议 7002 端口。Weblogic 历史大量高危未授权 RCE绝大多数漏洞集中在T3 协议、IIOP 协议、XMLDecoder 组件是内网渗透最高价值目标之一。重点T3 协议是 Weblogic 私有 Java 序列化协议很多业务 7001 端口公网暴露没有限制 T3 访问直接未授权 RCE。Nginx 反向代理场景如果 Nginx 直接转发原始 TCPT3 漏洞依然可以利用。2.1 CVE‑2015‑4852 WebLogic 第一个 T3 反序列化漏洞漏洞根源T3 协议接收未经校验 Java 序列化对象使用 Commons‑Collections Gadget 链实现未授权 RCE。受影响版本10.3.6、12.1.2、12.1.3、12.2.1。该漏洞开启 Weblogic 反序列化漏洞时代大量旧系统至今仍然存活。攻击流程攻击者 TCP 连接 7001 端口发送 T3 握手数据包接着发送恶意序列化对象目标服务反序列化触发命令执行。注意不能简单用 HTTP 发包工具必须使用支持 T3 协议的 POC 工具。普通 HTTP 请求无法触发 T3 反序列化。2.2 CVE‑2017‑10271 XMLDecoder RCEWLS‑WSAT 组件漏洞原理Weblogic 的 wls‑wsat 组件接口/wls‑wsat/CoordinatorPortType接收 XMLDecoder 可控 XML 数据XMLDecoder 解析 XML 可以执行任意 Java 代码不需要 T3 协议纯 HTTP 未授权 RCE。受影响版本10.3.6.012.1.3.012.2.1.0‑12.2.1.2。Payload 核心 XML 片段发送 POST 数据包到漏洞路径soapenv:Envelope xmlns:soapenvhttp://schemas.xmlsoap.org/soap/envelope/ soapenv:Header work:WorkContext xmlns:workhttp://bea.com/2004/06/soap/workarea/ java void classjava.lang.ProcessBuilder array classjava.lang.String length1 void index0 stringcalc/string /void /array void methodstart/ /void /java /work:WorkContext /soapenv:Header soapenv:Body/ /soapenv:Envelope实战踩坑补丁只修复部分路径存在路径绕过如/wls‑wsat/CoordinatorPortType11部分业务删除 wls‑wsat 组件漏洞不复存在。2.3 CVE‑2018‑2628 T3 反序列化 JRMP 绕过漏洞原理T3 协议反序列化黑名单绕过恶意对象指向攻击者搭建 JRMP RMI 服务器目标 Weblogic 回连攻击者 RMI 服务加载恶意类实现 RCE。攻击链需要攻击者服务器对外开放 RMI 监听端口目标 Weblogic 需要可以外网出网。内网隔离环境无法回连漏洞失效。受影响版本10.3.6、12.1.3、12.2.1.2‑12.2.1.3。2.4 CVE‑2020‑2883 IIOP 协议反序列化Weblogic IIOP 协议7002 端口同样存在未授权反序列化不需要 T3 端口只要 7002 开放即可攻击很多运维只防护 T3 忽略 IIOP 协议端口造成防护失效。2.5 CVE‑2023‑21839 未授权文件读取漏洞高危未授权文件读取通过 T3/IIOP 协议读取服务器任意本地文件读取数据库配置、密钥文件不需要账号密码。红队实战价值极高就算不能 RCE读取配置拿到数据库账号密码横向移动。受影响版本12.2.1.3.0‑12.2.1.4.014.1.1.0.0。2.6 Weblogic 其他常见漏洞与业务坑点控制台弱口令/console管理后台弱口令登录后部署 war 包拿 shell很多运维设置 IP 白名单外部无法访问后台部署漏洞拿到 Weblogic 账号密码后直接部署 war 包补丁不完全很多运维只打 CPU 季度补丁但是没有关闭 T3/IIOP 危险协议端口复用7001 端口同时提供 HTTP 和 T3 协议Nginx TCP 转发场景漏洞保留部分业务修改 T3 协议端口需要端口扫描识别。Weblogic 红队实战踩坑汇总只发送普通 HTTP 数据包无法触发 T3 反序列化必须使用 T3 协议 POCJRMP 回连利用内网服务器不能出网则攻击失败打了季度 CPU 补丁部分老绕过依然可以生效云 WAF 可以识别 T3 恶意流量公网 POC 经常被拦截内网环境 WAF 失效成功率极高很多业务删除 wls‑wsat 组件CVE‑2017‑10271 无法触发。Weblogic 蓝队加固要点非必要禁止 T3、IIOP 协议对外暴露防火墙限制 7001、7002 访问源 IP按时安装 Oracle 每季度 CPU 安全补丁Console 控制台配置 IP 白名单禁止公网访问修改默认账号密码禁止弱口令删除不需要的 wls‑wsat 等组件。三、Jetty 中间件高危漏洞复盘Jetty 是轻量开源 Java Servlet 容器经常内嵌到项目中很多 SpringBoot 项目内置 Jetty默认端口 8080。Jetty 漏洞更多集中路径遍历、信息泄露、HTTP 协议解析漏洞直接 RCE 漏洞数量少于 Tomcat、Weblogic但是经常被忽略大量 SpringBoot 内置 Jetty 系统存在风险。3.1 CVE‑2021‑28169 ConcatServlet 双重编码路径穿越信息泄露漏洞原理Jetty 的 ConcatServlet 处理双重编码 URL%252e%252e双重 URL 编码实现路径穿越读取 WEB‑INF 下任意配置文件、class 字节码文件。受影响版本9.4.40、10.0.2、11.0.2。Payload 示例/concat?/%252e%252e/WEB‑INF/web.xml前置条件web.xml 开启 ConcatServlet很多默认配置没有开启需要存在该 Servlet 才可以触发。3.2 CVE‑2017‑7658 HTTP 请求走私漏洞Jetty 对多 Content‑Length 头解析异常导致 HTTP 请求走私绕过 WAF 鉴权访问后台接口属于逻辑漏洞不会直接 RCE多用于越权访问内网接口。3.3 Jetty DoS 拒绝服务漏洞CVE‑2024‑9823 DosFilter 拒绝服务恶意请求消耗内存造成服务不可用CVE‑2025 系列 HTTP/2 MadeYouReset 拒绝服务大量 HTTP/2 实现受影响Tomcat/Jetty 均包含。3.4 Jetty 常见实战漏洞场景SpringBoot 项目内置 Jettyactuator 端点泄露/actuator/env、/actuator/headdump泄露配置信息错误页面泄露项目绝对路径未删除示例页面文件上传业务配合 Jetty 解析漏洞造成文件解析执行。红队实战总结Jetty 很少直接未授权 RCE大多是信息泄露、路径穿越拿到配置信息后配合其他漏洞进行横向。四、三款中间件漏洞红队对比总结中间件高危协议端口主要漏洞类型实战特点Tomcat8080(HTTP)、8009(AJP)PUT 上传、Ghostcat 文件读取、manager 弱口令、session 反序列化漏洞条件依赖配置公网内网都高频出现Weblogic7001(T3HTTP)、7002(IIOP)T3/IIOP 反序列化、XMLDecoder RCE、文件读取大量未授权 RCE政企内网高频公网多被 WAF 拦截Jetty8080路径穿越、信息泄露、HTTP 走私SpringBoot 内嵌居多直接 RCE 少以信息搜集为主五、红队中间件标准化测试流程拿到目标 IP按标准化流程排查中间件漏洞端口扫描识别端口8080、7001、7002、8009指纹识别通过响应头、错误页面、特殊路径判断中间件版本Tomcat测试 AJP 8009 Ghostcat测试 PUT 上传访问 manager 管理后台爆破弱口令Weblogic访问/console测试 XMLDecoder HTTP 漏洞T3 协议 POC 测试反序列化、文件读取IIOP 协议 7002 端口检测Jetty测试双重编码路径穿越检查 actuator 端点漏洞验证优先确认漏洞前置条件不要只看 POC 返回结果漏洞利用优先信息搜集读取配置再尝试 RCE内网环境 WAF 失效成功率更高痕迹记录整理漏洞报告。重要实战经验很多 POC 工具返回存在漏洞但是缺少前置条件实际无法利用一定要手动复现验证避免 SRC 报告误报。六、中间件高频踩坑真实护网 / SRC 经验坑 1POC 显示漏洞存在但是无法拿到 Shell绝大多数情况是漏洞前置条件不满足Tomcat PUT 漏洞需要 readonlyfalseGhostcat 只能读文件没有上传点不能 RCEWeblogic JRMP 利用需要目标服务器可以外网回连CVE‑2025‑24813 需要开启 session 持久化项目要有 CC gadget 链。坑 2公网 POC 被 WAF 拦截内网直接打成功Weblogic T3 恶意流量、XMLDecoder 的 SOAP XML 报文公网 WAF 可以识别拦截但是内网环境无 WAF漏洞直接生效。护网行动内网是 Weblogic 漏洞重灾区。坑 3运维只打补丁不关闭危险协议端口很多运维下载 CPU 补丁包更新但是 T3、IIOP 协议仍然对外开放。部分新漏洞依然可以通过协议绕过补丁。补丁 端口访问控制必须同时做。坑 4Nginx 反向代理环境漏洞保留如果 Nginx 做 TCP 层反向代理转发原始 TCP 流量后端中间件 T3、AJP 漏洞依然完整保留如果是 HTTP 代理则 T3 协议攻击失效。坑 5版本识别不准错误跑 POC页面 banner 被修改伪装不能单纯看响应头需要特征路径确认中间件真实版本。坑 6SpringBoot 内嵌 Jetty/Tomcat没有独立中间件安装目录配置文件位置改变传统 POC 不一定适配内嵌容器。重点测试 actuator 端点。七、蓝队完整加固与检测方案7.1 通用加固方案升级中间件到最新稳定版本定期更新安全补丁防火墙策略非必要端口禁止对外暴露AJP 8009、IIOP7002管理后台配置 IP 白名单禁止公网访问控制台删除 examples、docs 等示例测试目录修改默认账号密码杜绝弱口令Nginx 反向代理限制 PUT、DELETE 危险 HTTP 方法日志开启完整访问日志监控异常 T3、AJP、SOAP 请求。7.2 Tomcat 专项加固默认 Servlet 设置readonlytrue关闭 PUT 写文件不需要 AJP 协议直接注释 AJP 连接器开启 AJP 则配置 secret 密钥manager 后台配置 IP 访问限制关闭 session 持久化 FileStore避免 session 反序列化风险。7.3 Weblogic 专项加固季度安装 Oracle CPU 安全补丁防火墙限制 7001、7002 端口源 IP仅允许内网可信地址不需要的组件 wls‑wsat 卸载删除Console 控制台 IP 白名单禁止公网访问关闭 T3 协议不必要的远程访问。7.4 Jetty 专项加固升级 Jetty 版本非必要关闭 ConcatServletSpringBoot 生产环境关闭 actuator 全部端点或者配置 IP 白名单关闭不必要 Servlet。总结Tomcat、Weblogic、Jetty 作为主流 Java 中间件是红队渗透重要突破口。Tomcat 漏洞大多依赖配置PUT 上传需要 readonly 关闭GhostcatAJP 协议可以读取配置需要结合上传点实现 RCEmanager 后台弱口令上传 war 包。Weblogic 风险最高T3/IIOP 私有序列化协议大量未授权 RCEXMLDecoder 纯 HTTP RCE很多政企内网没有 WAF 防护漏洞极易利用注意 JRMP 回连利用需要服务器出网。Jetty 多为路径穿越、信息泄露SpringBoot 内嵌场景多见直接 RCE 漏洞较少。挖洞和护网实战不能只依靠 POC 工具必须理解漏洞前置条件。很多 POC 工具返回成功但是缺少依赖条件无法真正获取权限容易产生误报。防御层面只打补丁远远不够必须配合端口访问控制、IP 白名单、删除多余组件多层防护。本文全部内容来自公开安全研究仅用于授权安全测试严禁未授权实际环境利用。最后网络安全需要学习那些知识网络安全零基础入门学习路线规划初级1、网络安全理论知识2天①了解行业相关背景前景确定发展方向。②学习网络安全相关法律法规。③网络安全运营的概念。④等保简介、等保规定、流程和规范。非常重要2、渗透测试基础一周①渗透测试的流程、分类、标准②信息收集技术主动/被动信息搜集、Nmap工具、Google Hacking③漏洞扫描、漏洞利用、原理利用方法、工具MSF、绕过IDS和反病毒侦察④主机攻防演练MS17-010、MS08-067、MS10-046、MS12-20等3、操作系统基础一周①Windows系统常见功能和命令②Kali Linux系统常见功能和命令③操作系统安全系统入侵排查/系统加固基础4、计算机网络基础一周①计算机网络基础、协议和架构②网络通信原理、OSI模型、数据转发流程③常见协议解析HTTP、TCP/IP、ARP等④网络攻击技术与网络安全防御技术⑤Web漏洞原理与防御主动/被动攻击、DDOS攻击、CVE漏洞复现5、数据库基础操作2天①数据库基础②SQL语言基础③数据库安全加固6、Web渗透1周①HTML、CSS和JavaScript简介②OWASP Top10③Web漏洞扫描工具④Web渗透工具Nmap、BurpSuite、SQLMap、其他菜刀、漏扫等恭喜你如果学到这里你基本可以从事一份网络安全相关的工作比如渗透测试、Web 渗透、安全服务、安全分析等岗位如果等保模块学的好还可以从事等保工程师。薪资区间6k-15k到此为止大概1个月的时间。你已经成为了一名“脚本小子”。那么你还想往下探索吗想要入坑黑客网络安全的朋友给大家准备了一份282G全网最全的网络安全资料包免费领取7、脚本编程初级/中级/高级在网络安全领域。是否具备编程能力是“脚本小子”和真正黑客的本质区别。在实际的渗透测试过程中面对复杂多变的网络环境当常用工具不能满足实际需求的时候往往需要对现有工具进行扩展或者编写符合我们要求的工具、自动化脚本这个时候就需要具备一定的编程能力。在分秒必争的CTF竞赛中想要高效地使用自制的脚本工具来实现各种目的更是需要拥有编程能力.零基础入门建议选择脚本语言Python/PHP/Go/Java中的一种对常用库进行编程学习 搭建开发环境和选择IDE,PHP环境推荐Wamp和XAMPP IDE强烈推荐Sublime ·Python编程学习学习内容包含语法、正则、文件、 网络、多线程等常用库推荐《Python核心编程》不要看完 ·用Python编写漏洞的exp,然后写一个简单的网络爬虫 ·PHP基本语法学习并书写一个简单的博客系统 熟悉MVC架构并试着学习一个PHP框架或者Python框架 (可选) ·了解Bootstrap的布局或者CSS。8、超级黑客这部分内容对零基础的同学来说还比较遥远就不展开细说了贴一个大概的路线。网络安全工程师企业级学习路线视频配套资料国内外网安书籍、文档工具当然除了有配套的视频同时也为大家整理了各种文档和书籍资料工具并且已经帮大家分好类了。一些我自己买的、其他平台白嫖不到的视频教程要学习网安其实不难难的是坚持和相信自己我的经验是既然已经选定网安你就要相信它相信它能成为你日后进阶的高效渠道这样自己才会更有信念去学习才能在碰到困难的时候坚持下去。机会属于有准备的人这是一个实力的时代。人和人之间的差距不在于智商而在于如何利用业余时间只要你想学习什么时候开始都不晚不要担心这担心那你只需努力剩下的交给时间这份完整版的学习资料已经上传CSDN朋友们如果需要可以微信扫描下方CSDN官方认证二维码免费领取【保证100%免费】 
长河君 · 2026/10/15 15:02:08 · 阅读 1.2k 中间件漏洞红队合集：Tomcat、Weblogic、Jetty 高危漏洞利用复盘
免责声明本文仅供授权渗透测试、红蓝对抗、网络安全学习研究全部实验操作务必在自建隔离靶场完成。未经授权对公网业务实施漏洞利用属于违法行为请严格遵守网络安全相关法律法规。前言在护网行动、SRC 挖掘、内网渗透实战中Java 中间件一直是红队最主要的突破口。Tomcat、Weblogic、Jetty 三款中间件在政企、金融、制造业系统大量部署历史爆出大量未授权访问、文件上传、反序列化 RCE、协议漏洞。很多运维人员只打部分补丁、忽略危险协议端口、保留默认配置导致漏洞依然大量存活。很多安全学习者只会简单跑 POC不理解漏洞前置条件、流量特征、绕过限制真实环境经常 POC 跑成功却拿不到 Shell。本文万字复盘三款主流 Java 中间件高危漏洞包含原理、复现步骤、红队实战踩坑、流量特征、蓝队检测加固。覆盖文件上传、AJP 协议漏洞、T3/IIOP 反序列化、XMLDecoder、路径穿越、HTTP 请求走私等高频考点。适合 Web 渗透、护网红队、安全运维学习。ATTCK 映射T1190 利用面向公众的应用漏洞T1210 漏洞利用横向移动。一、Apache Tomcat 漏洞合集实战复盘Tomcat 是开源轻量级 Servlet 容器广泛用于中小型 Java Web 项目。常见端口 8080HTTP、8009AJP 协议。很多业务会把 8009 端口直接暴露公网带来严重安全风险。Tomcat 漏洞主要分为PUT 文件上传、AJP 协议文件读取包含、管理后台弱口令、Session 反序列化、信息泄露。1.1 CVE‑2017‑12615 PUT 文件上传漏洞漏洞原理Tomcat 的 Default Servlet 配置readonlyfalse时允许使用 HTTP PUT 方法直接向服务器写入任意文件。攻击者直接 PUT 上传 JSP Webshell访问即可执行命令。注意Tomcat 默认 readonly 为 true漏洞需要人为修改配置才会触发但是大量测试环境、外包项目会开启写权限。受影响版本Tomcat7.0.0‑7.0.81复现 PayloadPUT /shell.jsp HTTP/1.1 Host: 127.0.0.1:8080 Content‑Length:30 %Runtime.getRuntime().exec(request.getParameter(cmd));%发送 PUT 请求上传 shell.jsp访问/shell.jsp?cmdwhoami即可执行系统命令。绕过技巧当直接上传.jsp被 WAF 拦截可以使用后缀变形shell.jsp/部分 Tomcat 会忽略末尾斜杠保存为 shell.jsp 文件。实战踩坑默认配置 readonlytrue直接返回 403漏洞不存在Nginx 反向代理场景很多 Nginx 会直接丢弃 PUT、DELETE 方法漏洞无法触发上传成功但目录没有执行权限JSP 无法解析Windows 环境文件名特殊字符会导致上传失败。1.2 CVE‑2020‑1938 GhostcatAJP 协议文件读取 / 文件包含漏洞原理Tomcat AJP 协议8009 端口存在漏洞攻击者构造恶意 AJP 数据包读取 Web 目录下任意文件同时可以把任意文件当做 JSP 解析执行代码。高危场景如果网站存在文件上传点上传图片马通过 Ghostcat 把图片文件当做 JSP 解析直接 RCE。不需要 HTTP 端口只要 8009 端口对外开放就可以攻击。受影响版本Apache Tomcat 6、7 7.0.100、88.5.51、99.0.31利用工具ajp‑shooter发送 AJP 协议数据包。读取 WEB‑INF/web.xml 配置文件 payloadajp‑shooter.py 目标ip 8009 /WEB‑INF/web.xml可以读取源码、数据库配置文件、WEB‑INF 下的 class 字节码文件。RCE 利用条件单独 Ghostcat 只能读文件不能直接写文件 RCE。必须满足下面其中一条业务本身存在文件上传漏洞上传图片马AJP 协议包含该图片文件当做 JSP 解析存在其他漏洞可以写入文件再用 AJP 解析执行。红队实战公网经常扫到 8009 开放只能读取配置文件没有上传点只能信息搜集无法直接拿 Shell。内网遇到上传业务才可以组合 RCE。防护方式不需要 AJP 协议直接注释 ajp 连接器关闭 8009 端口开启 AJP 协议的情况下配置secretRequiredtrue设置 AJP 密钥。1.3 Tomcat 管理后台弱口令漏洞Tomcat 管理页面路径/manager/html需要账号密码登录。登录之后可以上传 war 包直接部署获取 Webshell。默认账号配置文件conf/tomcat‑users.xml。常见弱口令组合admin/admintomcat/tomcatadmin/(空密码)实战步骤访问/manager/html弹出 401 认证弹窗爆破弱口令上传 war 包war 包内部放置 jsp 木马访问部署应用路径执行命令。实战坑点很多运维修改 manager 访问地址增加 IP 白名单外部 IP 访问 403 拒绝。此时就算拿到账号密码也无法登录后台。1.4 CVE‑2025‑24813 Tomcat Session 持久化反序列化漏洞漏洞原理Tomcat 开启 session 持久化存储到磁盘Default Servlet 开启 readonlyfalse支持 partial PUT 部分上传请求。攻击者 PUT 写入恶意序列化 session 文件Tomcat 读取 session 文件触发 Java 反序列化如果 classpath 存在 CC 等利用链 gadget实现 RCE。触发全部前置条件Default Servlet readonlyfalse 开启写权限partial PUT 请求支持新版本默认开启开启 FileStore 会话持久化项目依赖存在反序列化 gadgetcommons‑collections。条件苛刻公网真实环境并不多但是护网靶场经常出现。受影响版本9.0.x 9.0.9910.1.x10.1.3511.0.x11.0.21.5 Tomcat 常见信息泄露报错页面泄露绝对路径、类名版本/examples示例目录没有删除泄露测试页面/docs文档目录对外暴露版本 banner 泄露响应头 X‑Powered‑By 泄露版本。Tomcat 红队测试清单探测 8080、8009 端口是否对外开放测试 PUT 方法是否允许写入文件使用 ajp‑shooter 测试 Ghostcat 读取 WEB‑INF 配置访问 manager 管理后台测试弱口令、IP 访问限制识别 Tomcat 版本对照 CVE 比对检查 examples、docs 示例目录是否存在。二、Weblogic 高危漏洞红队复盘Oracle Weblogic 是重量级 JavaEE 中间件多用于政企金融大型业务默认端口 7001HTTPT3 协议 7001 端口复用IIOP 协议 7002 端口。Weblogic 历史大量高危未授权 RCE绝大多数漏洞集中在T3 协议、IIOP 协议、XMLDecoder 组件是内网渗透最高价值目标之一。重点T3 协议是 Weblogic 私有 Java 序列化协议很多业务 7001 端口公网暴露没有限制 T3 访问直接未授权 RCE。Nginx 反向代理场景如果 Nginx 直接转发原始 TCPT3 漏洞依然可以利用。2.1 CVE‑2015‑4852 WebLogic 第一个 T3 反序列化漏洞漏洞根源T3 协议接收未经校验 Java 序列化对象使用 Commons‑Collections Gadget 链实现未授权 RCE。受影响版本10.3.6、12.1.2、12.1.3、12.2.1。该漏洞开启 Weblogic 反序列化漏洞时代大量旧系统至今仍然存活。攻击流程攻击者 TCP 连接 7001 端口发送 T3 握手数据包接着发送恶意序列化对象目标服务反序列化触发命令执行。注意不能简单用 HTTP 发包工具必须使用支持 T3 协议的 POC 工具。普通 HTTP 请求无法触发 T3 反序列化。2.2 CVE‑2017‑10271 XMLDecoder RCEWLS‑WSAT 组件漏洞原理Weblogic 的 wls‑wsat 组件接口/wls‑wsat/CoordinatorPortType接收 XMLDecoder 可控 XML 数据XMLDecoder 解析 XML 可以执行任意 Java 代码不需要 T3 协议纯 HTTP 未授权 RCE。受影响版本10.3.6.012.1.3.012.2.1.0‑12.2.1.2。Payload 核心 XML 片段发送 POST 数据包到漏洞路径soapenv:Envelope xmlns:soapenvhttp://schemas.xmlsoap.org/soap/envelope/ soapenv:Header work:WorkContext xmlns:workhttp://bea.com/2004/06/soap/workarea/ java void classjava.lang.ProcessBuilder array classjava.lang.String length1 void index0 stringcalc/string /void /array void methodstart/ /void /java /work:WorkContext /soapenv:Header soapenv:Body/ /soapenv:Envelope实战踩坑补丁只修复部分路径存在路径绕过如/wls‑wsat/CoordinatorPortType11部分业务删除 wls‑wsat 组件漏洞不复存在。2.3 CVE‑2018‑2628 T3 反序列化 JRMP 绕过漏洞原理T3 协议反序列化黑名单绕过恶意对象指向攻击者搭建 JRMP RMI 服务器目标 Weblogic 回连攻击者 RMI 服务加载恶意类实现 RCE。攻击链需要攻击者服务器对外开放 RMI 监听端口目标 Weblogic 需要可以外网出网。内网隔离环境无法回连漏洞失效。受影响版本10.3.6、12.1.3、12.2.1.2‑12.2.1.3。2.4 CVE‑2020‑2883 IIOP 协议反序列化Weblogic IIOP 协议7002 端口同样存在未授权反序列化不需要 T3 端口只要 7002 开放即可攻击很多运维只防护 T3 忽略 IIOP 协议端口造成防护失效。2.5 CVE‑2023‑21839 未授权文件读取漏洞高危未授权文件读取通过 T3/IIOP 协议读取服务器任意本地文件读取数据库配置、密钥文件不需要账号密码。红队实战价值极高就算不能 RCE读取配置拿到数据库账号密码横向移动。受影响版本12.2.1.3.0‑12.2.1.4.014.1.1.0.0。2.6 Weblogic 其他常见漏洞与业务坑点控制台弱口令/console管理后台弱口令登录后部署 war 包拿 shell很多运维设置 IP 白名单外部无法访问后台部署漏洞拿到 Weblogic 账号密码后直接部署 war 包补丁不完全很多运维只打 CPU 季度补丁但是没有关闭 T3/IIOP 危险协议端口复用7001 端口同时提供 HTTP 和 T3 协议Nginx TCP 转发场景漏洞保留部分业务修改 T3 协议端口需要端口扫描识别。Weblogic 红队实战踩坑汇总只发送普通 HTTP 数据包无法触发 T3 反序列化必须使用 T3 协议 POCJRMP 回连利用内网服务器不能出网则攻击失败打了季度 CPU 补丁部分老绕过依然可以生效云 WAF 可以识别 T3 恶意流量公网 POC 经常被拦截内网环境 WAF 失效成功率极高很多业务删除 wls‑wsat 组件CVE‑2017‑10271 无法触发。Weblogic 蓝队加固要点非必要禁止 T3、IIOP 协议对外暴露防火墙限制 7001、7002 访问源 IP按时安装 Oracle 每季度 CPU 安全补丁Console 控制台配置 IP 白名单禁止公网访问修改默认账号密码禁止弱口令删除不需要的 wls‑wsat 等组件。三、Jetty 中间件高危漏洞复盘Jetty 是轻量开源 Java Servlet 容器经常内嵌到项目中很多 SpringBoot 项目内置 Jetty默认端口 8080。Jetty 漏洞更多集中路径遍历、信息泄露、HTTP 协议解析漏洞直接 RCE 漏洞数量少于 Tomcat、Weblogic但是经常被忽略大量 SpringBoot 内置 Jetty 系统存在风险。3.1 CVE‑2021‑28169 ConcatServlet 双重编码路径穿越信息泄露漏洞原理Jetty 的 ConcatServlet 处理双重编码 URL%252e%252e双重 URL 编码实现路径穿越读取 WEB‑INF 下任意配置文件、class 字节码文件。受影响版本9.4.40、10.0.2、11.0.2。Payload 示例/concat?/%252e%252e/WEB‑INF/web.xml前置条件web.xml 开启 ConcatServlet很多默认配置没有开启需要存在该 Servlet 才可以触发。3.2 CVE‑2017‑7658 HTTP 请求走私漏洞Jetty 对多 Content‑Length 头解析异常导致 HTTP 请求走私绕过 WAF 鉴权访问后台接口属于逻辑漏洞不会直接 RCE多用于越权访问内网接口。3.3 Jetty DoS 拒绝服务漏洞CVE‑2024‑9823 DosFilter 拒绝服务恶意请求消耗内存造成服务不可用CVE‑2025 系列 HTTP/2 MadeYouReset 拒绝服务大量 HTTP/2 实现受影响Tomcat/Jetty 均包含。3.4 Jetty 常见实战漏洞场景SpringBoot 项目内置 Jettyactuator 端点泄露/actuator/env、/actuator/headdump泄露配置信息错误页面泄露项目绝对路径未删除示例页面文件上传业务配合 Jetty 解析漏洞造成文件解析执行。红队实战总结Jetty 很少直接未授权 RCE大多是信息泄露、路径穿越拿到配置信息后配合其他漏洞进行横向。四、三款中间件漏洞红队对比总结中间件高危协议端口主要漏洞类型实战特点Tomcat8080(HTTP)、8009(AJP)PUT 上传、Ghostcat 文件读取、manager 弱口令、session 反序列化漏洞条件依赖配置公网内网都高频出现Weblogic7001(T3HTTP)、7002(IIOP)T3/IIOP 反序列化、XMLDecoder RCE、文件读取大量未授权 RCE政企内网高频公网多被 WAF 拦截Jetty8080路径穿越、信息泄露、HTTP 走私SpringBoot 内嵌居多直接 RCE 少以信息搜集为主五、红队中间件标准化测试流程拿到目标 IP按标准化流程排查中间件漏洞端口扫描识别端口8080、7001、7002、8009指纹识别通过响应头、错误页面、特殊路径判断中间件版本Tomcat测试 AJP 8009 Ghostcat测试 PUT 上传访问 manager 管理后台爆破弱口令Weblogic访问/console测试 XMLDecoder HTTP 漏洞T3 协议 POC 测试反序列化、文件读取IIOP 协议 7002 端口检测Jetty测试双重编码路径穿越检查 actuator 端点漏洞验证优先确认漏洞前置条件不要只看 POC 返回结果漏洞利用优先信息搜集读取配置再尝试 RCE内网环境 WAF 失效成功率更高痕迹记录整理漏洞报告。重要实战经验很多 POC 工具返回存在漏洞但是缺少前置条件实际无法利用一定要手动复现验证避免 SRC 报告误报。六、中间件高频踩坑真实护网 / SRC 经验坑 1POC 显示漏洞存在但是无法拿到 Shell绝大多数情况是漏洞前置条件不满足Tomcat PUT 漏洞需要 readonlyfalseGhostcat 只能读文件没有上传点不能 RCEWeblogic JRMP 利用需要目标服务器可以外网回连CVE‑2025‑24813 需要开启 session 持久化项目要有 CC gadget 链。坑 2公网 POC 被 WAF 拦截内网直接打成功Weblogic T3 恶意流量、XMLDecoder 的 SOAP XML 报文公网 WAF 可以识别拦截但是内网环境无 WAF漏洞直接生效。护网行动内网是 Weblogic 漏洞重灾区。坑 3运维只打补丁不关闭危险协议端口很多运维下载 CPU 补丁包更新但是 T3、IIOP 协议仍然对外开放。部分新漏洞依然可以通过协议绕过补丁。补丁 端口访问控制必须同时做。坑 4Nginx 反向代理环境漏洞保留如果 Nginx 做 TCP 层反向代理转发原始 TCP 流量后端中间件 T3、AJP 漏洞依然完整保留如果是 HTTP 代理则 T3 协议攻击失效。坑 5版本识别不准错误跑 POC页面 banner 被修改伪装不能单纯看响应头需要特征路径确认中间件真实版本。坑 6SpringBoot 内嵌 Jetty/Tomcat没有独立中间件安装目录配置文件位置改变传统 POC 不一定适配内嵌容器。重点测试 actuator 端点。七、蓝队完整加固与检测方案7.1 通用加固方案升级中间件到最新稳定版本定期更新安全补丁防火墙策略非必要端口禁止对外暴露AJP 8009、IIOP7002管理后台配置 IP 白名单禁止公网访问控制台删除 examples、docs 等示例测试目录修改默认账号密码杜绝弱口令Nginx 反向代理限制 PUT、DELETE 危险 HTTP 方法日志开启完整访问日志监控异常 T3、AJP、SOAP 请求。7.2 Tomcat 专项加固默认 Servlet 设置readonlytrue关闭 PUT 写文件不需要 AJP 协议直接注释 AJP 连接器开启 AJP 则配置 secret 密钥manager 后台配置 IP 访问限制关闭 session 持久化 FileStore避免 session 反序列化风险。7.3 Weblogic 专项加固季度安装 Oracle CPU 安全补丁防火墙限制 7001、7002 端口源 IP仅允许内网可信地址不需要的组件 wls‑wsat 卸载删除Console 控制台 IP 白名单禁止公网访问关闭 T3 协议不必要的远程访问。7.4 Jetty 专项加固升级 Jetty 版本非必要关闭 ConcatServletSpringBoot 生产环境关闭 actuator 全部端点或者配置 IP 白名单关闭不必要 Servlet。总结Tomcat、Weblogic、Jetty 作为主流 Java 中间件是红队渗透重要突破口。Tomcat 漏洞大多依赖配置PUT 上传需要 readonly 关闭GhostcatAJP 协议可以读取配置需要结合上传点实现 RCEmanager 后台弱口令上传 war 包。Weblogic 风险最高T3/IIOP 私有序列化协议大量未授权 RCEXMLDecoder 纯 HTTP RCE很多政企内网没有 WAF 防护漏洞极易利用注意 JRMP 回连利用需要服务器出网。Jetty 多为路径穿越、信息泄露SpringBoot 内嵌场景多见直接 RCE 漏洞较少。挖洞和护网实战不能只依靠 POC 工具必须理解漏洞前置条件。很多 POC 工具返回成功但是缺少依赖条件无法真正获取权限容易产生误报。防御层面只打补丁远远不够必须配合端口访问控制、IP 白名单、删除多余组件多层防护。本文全部内容来自公开安全研究仅用于授权安全测试严禁未授权实际环境利用。最后网络安全需要学习那些知识网络安全零基础入门学习路线规划初级1、网络安全理论知识2天①了解行业相关背景前景确定发展方向。②学习网络安全相关法律法规。③网络安全运营的概念。④等保简介、等保规定、流程和规范。非常重要2、渗透测试基础一周①渗透测试的流程、分类、标准②信息收集技术主动/被动信息搜集、Nmap工具、Google Hacking③漏洞扫描、漏洞利用、原理利用方法、工具MSF、绕过IDS和反病毒侦察④主机攻防演练MS17-010、MS08-067、MS10-046、MS12-20等3、操作系统基础一周①Windows系统常见功能和命令②Kali Linux系统常见功能和命令③操作系统安全系统入侵排查/系统加固基础4、计算机网络基础一周①计算机网络基础、协议和架构②网络通信原理、OSI模型、数据转发流程③常见协议解析HTTP、TCP/IP、ARP等④网络攻击技术与网络安全防御技术⑤Web漏洞原理与防御主动/被动攻击、DDOS攻击、CVE漏洞复现5、数据库基础操作2天①数据库基础②SQL语言基础③数据库安全加固6、Web渗透1周①HTML、CSS和JavaScript简介②OWASP Top10③Web漏洞扫描工具④Web渗透工具Nmap、BurpSuite、SQLMap、其他菜刀、漏扫等恭喜你如果学到这里你基本可以从事一份网络安全相关的工作比如渗透测试、Web 渗透、安全服务、安全分析等岗位如果等保模块学的好还可以从事等保工程师。薪资区间6k-15k到此为止大概1个月的时间。你已经成为了一名“脚本小子”。那么你还想往下探索吗想要入坑黑客网络安全的朋友给大家准备了一份282G全网最全的网络安全资料包免费领取7、脚本编程初级/中级/高级在网络安全领域。是否具备编程能力是“脚本小子”和真正黑客的本质区别。在实际的渗透测试过程中面对复杂多变的网络环境当常用工具不能满足实际需求的时候往往需要对现有工具进行扩展或者编写符合我们要求的工具、自动化脚本这个时候就需要具备一定的编程能力。在分秒必争的CTF竞赛中想要高效地使用自制的脚本工具来实现各种目的更是需要拥有编程能力.零基础入门建议选择脚本语言Python/PHP/Go/Java中的一种对常用库进行编程学习 搭建开发环境和选择IDE,PHP环境推荐Wamp和XAMPP IDE强烈推荐Sublime ·Python编程学习学习内容包含语法、正则、文件、 网络、多线程等常用库推荐《Python核心编程》不要看完 ·用Python编写漏洞的exp,然后写一个简单的网络爬虫 ·PHP基本语法学习并书写一个简单的博客系统 熟悉MVC架构并试着学习一个PHP框架或者Python框架 (可选) ·了解Bootstrap的布局或者CSS。8、超级黑客这部分内容对零基础的同学来说还比较遥远就不展开细说了贴一个大概的路线。网络安全工程师企业级学习路线视频配套资料国内外网安书籍、文档工具当然除了有配套的视频同时也为大家整理了各种文档和书籍资料工具并且已经帮大家分好类了。一些我自己买的、其他平台白嫖不到的视频教程要学习网安其实不难难的是坚持和相信自己我的经验是既然已经选定网安你就要相信它相信它能成为你日后进阶的高效渠道这样自己才会更有信念去学习才能在碰到困难的时候坚持下去。机会属于有准备的人这是一个实力的时代。人和人之间的差距不在于智商而在于如何利用业余时间只要你想学习什么时候开始都不晚不要担心这担心那你只需努力剩下的交给时间这份完整版的学习资料已经上传CSDN朋友们如果需要可以微信扫描下方CSDN官方认证二维码免费领取【保证100%免费】