被黑客入侵的Apache Tomcat服务器有哪些危险？

Question

如果Tomcat7（在Ubuntu 12.x上）被攻击（由弱用户名/密码引起），黑客能够做什么？当然他可以部署.war档案。

但是： 他就可以得到完整的文件系统访问？ 他可以更改tomcat/FTP/Ubuntu管理员密码吗？ 还是没有限制？

Answer 1

如果你正在谈论的Tomcat管理应用程序（即你可以用它来部署新的web应用）弱密码：嗯 - 你能想象所谓的“远程文件浏览器” Web应用程序？或“远程外壳”？基本上，如果您可以将代码上传到执行的服务器，则几乎没有限制。

好了，限制由管理员设置：爪哇（与它的Tomcat），可以在沙箱/安全管理器运行。我其实并不知道这样做的许多安装。另外，很多tomcat安装都以root用户身份运行 - 如果您失去对这种实例的控制权，您就会敬酒。

所以你问的问题是：“它是危险的，当攻击者可以在我的服务器上运行任意代码？”我不愿透露这一点，但答案是“是”。

比如Tomcat的，我觉得管理器应用程序是很好的调试，但不是你想在生产系统上部署的东西，走向世界是可见的。但这只是硬化过程中的一小部分。

哦，虽然它可能不完全适合在这种情况下，但你可能想看看Java/Tomcat hacked，我只是发现这个滚动 - 一个很好的替代弱密码的弱点。