从零开始学习 AWS 黑客技术，成为专家 ！ 支持 HackTricks 的其他方式：
如果您想看到您的公司在 HackTricks 中做广告 或下载 PDF 版本的 HackTricks ，请查看
加入 💬 Twitter 🐦
通过向
黑客见解
参与深入探讨黑客的刺激和挑战的内容
实时黑客新闻
通过实时新闻和见解及时了解快节奏的黑客世界
最新公告
随时了解最新的赏金任务发布和重要平台更新
基本信息
还有有趣的信息：
ajp13 协议是基于数据包的。出于性能考虑，二进制格式显然优于更易读的纯文本。Web 服务器通过 TCP 连接与 Servlet 容器通信。为了减少昂贵的套接字创建过程，Web 服务器将尝试维护持久的 TCP 连接到 Servlet 容器，并重用连接进行多个请求/响应周期
默认端口： 8009
复制 PORT STATE SERVICE
8009/tcp open ajp13 Ghostcat是一个LFI漏洞，但受到一定限制：只能提取特定路径下的文件。尽管如此，这可能包括像WEB-INF/web.xml这样的文件，根据服务器设置，这些文件可能泄露像Tomcat接口凭据这样的重要信息。
修补版本为9.0.31或更高版本，8.5.51和7.0.100已解决了此问题。
枚举
自动化
复制 nmap -sV --script ajp-auth,ajp-headers,ajp-methods,ajp-request -n -p 8009 <IP> AJP 代理
Nginx 反向代理 & AJP
当我们遇到一个开放的 AJP 代理端口（8009 TCP）时，我们可以使用 Nginx 与 ajp_module 来访问“隐藏”的 Tomcat 管理器。这可以通过编译 Nginx 源代码并添加所需的模块来实现，具体步骤如下：
使用 ajp_module 编译 Nginx 源代码。
复制 # Download Nginx code
wget https://nginx.org/download/nginx-1.21.3.tar.gz
tar -xzvf nginx-1.21.3.tar.gz
# Compile Nginx source code with the ajp module
git clone https://github.com/dvershinin/nginx_ajp_module.git
cd nginx-1.21.3
sudo apt install libpcre3-dev
./configure --add-module=`pwd`/../nginx_ajp_module --prefix=/etc/nginx --sbin-path=/usr/sbin/nginx --modules-path=/usr/lib/nginx/modules
make
sudo make install
nginx -V 在/etc/nginx/conf/nginx.conf文件中的http块内，将整个server块注释掉，并添加以下行：
复制 upstream tomcats {
server <TARGET_SERVER>:8009;
keepalive 10;
}
server {
listen 80;
location / {
ajp_keep_conn on;
ajp_pass tomcats;
}
} 启动Nginx，并通过向本地主机发出cURL请求来检查一切是否正常工作。
复制 sudo nginx
curl http://127.0.0.1:80
<!DOCTYPE html>
<html lang="en">
<head>
<meta charset="UTF-8" />
<title>Apache Tomcat/X.X.XX</title>
<link href="favicon.ico" rel="icon" type="image/x-icon" />
<link href="favicon.ico" rel="shortcut icon" type="image/x-icon" />
<link href="tomcat.css" rel="stylesheet" type="text/css" />
</headas
<body>
<div id="wrapper">
<div id="navigation" class="curved container">
<span id="nav-home"><a href="https://tomcat.apache.org/">Home</a></span>
<span id="nav-hosts"><a href="/docs/">Documentation</a></span>
<span id="nav-config"><a href="/docs/config/">Configuration</a></span>
<span id="nav-examples"><a href="/examples/">Examples</a></span>
<span id="nav-wiki"><a href="https://wiki.apache.org/tomcat/FrontPage">Wiki</a></span>
<span id="nav-lists"><a href="https://tomcat.apache.org/lists.html">Mailing Lists</a></span>
<span id="nav-help"><a href="https://tomcat.apache.org/findhelp.html">Find Help</a></span>
<br class="separator" />
</div>
<div id="asf-box">
<h1>Apache Tomcat/X.X.XX</h1>
</div>
<div id="upper" class="curved container">
<div id="congrats" class="curved container">
<h2>If you're seeing this, you've successfully installed Tomcat. Congratulations!</h2>
<SNIP> Nginx Docker化版本
复制 git clone https://github.com/ScribblerCoder/nginx-ajp-docker
cd nginx-ajp-docker 将nginx.conf中的TARGET-IP替换为AJP IP，然后构建并运行。
复制 docker build . -t nginx-ajp-proxy
docker run -it --rm -p 80:80 nginx-ajp-proxy Apache AJP 代理
发现只有端口8009是开放的而没有其他可访问的web端口是罕见的。然而，仍然可以利用Metasploit 来利用它。通过利用Apache 作为代理，请求可以被重定向到端口8009上的Tomcat 。
复制 sudo apt-get install libapache2-mod-jk
sudo vim /etc/apache2/apache2.conf # append the following line to the config
Include ajp.conf
sudo vim /etc/apache2/ajp.conf # create the following file, change HOST to the target address
ProxyRequests Off
<Proxy *>
Order deny,allow
Deny from all
Allow from localhost
</Proxy>
ProxyPass / ajp://HOST:8009/
ProxyPassReverse / ajp://HOST:8009/
sudo a2enmod proxy_http
sudo a2enmod proxy_ajp
sudo systemctl restart apache2 这种设置具有绕过入侵检测和防范系统（IDS/IPS）的潜力，因为AJP协议的二进制特性 ，尽管这种能力尚未经过验证。通过将常规的Metasploit Tomcat漏洞利用指向127.0.0.1:80，您可以有效地控制目标系统。
复制 msf exploit(tomcat_mgr_deploy) > show options 参考资料
黑客见解
参与深入探讨黑客的刺激和挑战的内容
实时黑客新闻
通过实时新闻和见解及时了解快节奏的黑客世界
最新公告
随时了解最新的赏金任务发布和重要平台更新
