Compromised 1

L'exploitation d'Apache Tomcat est un sujet critique en sécurité des applications web. Apache Tomcat est l'un des serveurs d'applications Java les plus largement déployés, alimentant des applications web d'entreprise dans tous les secteurs. Lorsque les instances Tomcat sont mal configurées - en particulier avec des identifiants par défaut ou faibles sur l'application Manager - les attaquants peuvent déployer des applications web malveillantes et obtenir l'exécution de code à distance sur le serveur.

Comprendre l'exploitation du Tomcat Manager

Le Tomcat Manager est une interface d'administration web qui permet aux utilisateurs autorisés de déployer, retirer et gérer les applications web (fichiers WAR). Dans de nombreux scénarios réels, les administrateurs laissent l'application Manager accessible avec des identifiants par défaut comme tomcat:tomcat ou d'autres combinaisons de mots de passe faibles. Une fois qu'un attaquant obtient l'accès au Manager, il peut téléverser un fichier WAR malveillant contenant un web shell ou un reverse shell, obtenant ainsi l'exécution de commandes sur le serveur cible avec les privilèges du processus Tomcat.

Attaques par déploiement de fichiers WAR

Les fichiers WAR (Web Application Resource) sont le format d'empaquetage standard pour les applications web Java. Les attaquants peuvent créer des fichiers WAR malveillants contenant des web shells JSP fournissant une exécution interactive de commandes via un navigateur web. Des outils comme msfvenom peuvent générer des payloads de reverse shell empaquetés sous forme de fichiers WAR, tandis que les shells JSP personnalisés offrent plus de flexibilité. Le processus de déploiement est simple - téléverser via l'interface Manager, et l'application malveillante devient immédiatement accessible sur le serveur.

Du web shell à l'accès root

Obtenir un web shell via Tomcat n'est généralement que le début d'un test d'intrusion. Le processus Tomcat s'exécute habituellement sous un utilisateur limité, les attaquants doivent donc énumérer le système à la recherche de vecteurs d'escalade de privilèges. Les chemins d'escalade courants incluent les permissions sudo mal configurées, les binaires SUID, les tâches cron modifiables et les exploits de noyau. Comprendre cette chaîne d'attaque complète - de la reconnaissance initiale et la découverte d'identifiants au déploiement de web shell jusqu'à l'escalade de privilèges Linux - est essentiel pour les professionnels de la sécurité menant des tests d'intrusion complets.