tomcat session反序列化漏洞分析

                <p></p><h1>CVE-2020-9484 tomcat session反序列化漏洞</h1>

漏洞通告

可以看到利用条件较为苛刻，并且在复现的时候需要做一定配置

修改PersistenceManager配置，这个配置是在tomcat目录的conf目录中的context.xml中配置的，根据官网的配置方法，做如下配置

这样2，3条件满足了，之后配置tomcat的debug环境即可

漏洞分析

一般文件存储session的问题就是sessionID没有做过滤，允许跳出路径，让session文件变成攻击者控制的文件，导致漏洞产生，这次的session漏洞也不例外

我们选择了session的存储为FileStore，所以在FileStore类的load方法处设置断点

在servlet中创建一个很简单的java session

protected void doGet(HttpServletRequest req, HttpServletResponse resp) throws ServletException, IOException {
        Properties properties = new Properties();
        properties.setProperty("org.apache.catalina.session.StandardSession.ACTIVITY_CHECK", "true");
        System.setProperties(properties);
        String res = System.getProperty("org.apache.catalina.session.StandardSession.ACTIVITY_CHECK");
        System.out.println(res);
        HttpSession httpSession = req.getSession();
        httpSession.setAttribute("username", "admin");
        resp.getWriter().println("success");
    }