Apache Tomcat 服务器被黑客攻击有哪些危险？

Question

如果 Tomcat7（在 Ubuntu 12.x 上）被黑客攻击（由于用户名/密码较弱），黑客能做什么？当然他可以部署 .war 档案。

但是：他可以访问整个文件系统吗？他可以更改 tomcat/FTP/ubuntu 管理员密码吗？或者根本没有限制？

Answer 1

如果您正在谈论 tomcat 管理器应用程序的弱密码（您可以使用它来部署新的 Web 应用程序）： 那么 - 您能想象一个名为“远程文件资源管理器”的 Web 应用程序吗？或“远程外壳”？基本上，如果您可以将代码上传到执行的服务器，则几乎没有限制。

那么，限制是由您的管理员设置的：Java（以及 Tomcat）可以在沙箱/安全管理器中运行。事实上，我知道没有多少装置可以做到这一点。另外，相当多的 tomcat 安装都是以 root 用户身份运行的——如果你失去了对这样一个实例的控制，你就完蛋了。

所以您要问的问题是：“攻击者可以在我的服务器上运行任意代码是否危险？” 我不想透露这一点，但答案是“是”。

对于 tomcat，我觉得管理器应用程序很适合调试，但不是您想要部署在生产系统上、对世界可见的东西。但这只是硬化过程的一小部分。

哦，尽管它可能不完全适合这种情况，但您可能想看看Java/Tomcat hacked，我刚刚发现了这个滚动 - 弱密码的一个很好的替代漏洞。