Tomcat漏洞对FR渗透测试【建议大家务必修复】

直奔主题，最近由于Tomcat存爆出CNVD-2020-10487漏洞，具体漏洞描述请自行百度，具体意思就是后台可上传并读取tomcat的文件
因此，此贴我就为大家详细演示如何通过漏洞获取FR中的报表文件：

首先，我要已知报表的目录；这个好办，当用户访问报表的时候可以知道报表存在哪个目录。假设我们的报表目录在reportlets下有个test.cpt的报表文件，如图


图中通过python编写的一个工具可以就可以读取FR的报表文件，同理可以读取WEB-INF下所有文件，包括fr的授权，config下的配置xml文件，
但还好FR的ds.xml中的密码是加密的。

本次影响面比较大，包含所有在用的tomcat版本，非tomcat部署的不在本帖的操作范围内（Weblogic也有类似漏洞，这里不细说，反正打补丁吧）
具体修复方法就是将你的tomcat ajp13关闭，具体就是进入tomcat\conf\server.xml  搜索AJP/1.3，然后将改行注释或删除，具体如图：


这都不能给我加精，下次我就不发咯~顺便问问能进感谢名单么，哈哈哈哈哈哈哈哈哈哈哈哈哈哈哈哈哈哈

关于Tomcat这个漏洞呢，我们的文档里面也很快反应并提出了解决方案
https://help.finereport.com/doc-view-3239.html

除了楼主提到的没有开AJP 协议的情况外，如果使用了必须将 YOUR_TOMCAT_AJP_SECRET 更改为一个安全性高、无法被轻易猜解的值。具体操作可以见上面的文档链接。

最后感谢楼主发帖，回帖超过10就加精

为加精助力 我是自来水

向老司机，致敬！

看帮助文档FR9之前的有影响，那FR10就没问题咯，而且server.xml文档打开这一项的格式也不太一样

Agile敏捷 发表于 2020-3-11 13:05
看帮助文档FR9之前的有影响，那FR10就没问题咯，而且server.xml文档打开这一项的格式也不太一样

跟FR多少版本没有关系，主要看tomcat版本，我这边FR10也有影响

可以加精啦，这个好贴