學海無涯，旅「途」漫漫，「途」中小記，如有錯誤，敬請指出，在此拜謝！用了萬年的tomcat，出現了bug。2月21日，據國家資訊保安漏洞共享平台公開的漏洞公告中發現apache tomcat檔案包含漏洞cnvd-2020-10487（對應cve-2020-1938），apache tomcat伺服器中被發現存在檔案包含漏洞，攻擊者利用該漏洞，可在未授權的情況下遠端讀取特定目錄下的任意檔案。
tomcat 6.*目前，apache官方已發布9.0.31、8.5.51及7.0.100版本對此漏洞進行修復，建議使用者盡快公升級新版本或採取臨時緩解措施：tomcat 7.* < 7.0.100
tomcat 8.* < 8.5.51
tomcat 9.* < 9.0.31
如未使用 tomcat ajp 協議，可以直接將 tomcat 公升級到 9.0.31、8.5.51或 7.0.100 版本進行漏洞修復。
如無法立即進行版本更新、或者是更老版本的使用者，建議直接關閉ajpconnector，或將其監聽位址改為僅監聽本機localhost。
具體操作：
（1）編輯 /conf/server.xml，找到如下行（為 tomcat 的工作目錄）：
（2）將此行注釋掉（也可刪掉該行）：
（3）儲存後需重新啟動，規則方可生效。
建議將tomcat立即公升級到9.0.31、8.5.51或7.0.100版本進行修復，同時為ajp connector配置secret來設定ajp協議的認證憑證。例如（注意必須將your_tomcat_ajp_secret更改為乙個安全性高、無法被輕易猜解的值）：
如無法立即進行版本更新、或者是更老版本的使用者，建議為ajpconnector配置requiredsecret來設定ajp協議認證憑證。例如（注意必須將your_tomcat_ajp_secret更改為乙個安全性高、無法被輕易猜解的值）：
Tomcat高危安全漏洞處理
cnvd對該漏洞評級為 高危 2020年2月20日，360cert 監測發現國家資訊保安漏洞共享平台 cnvd 收錄了 cnvd 2020 10487 apache tomcat檔案包含漏洞，受影響的版本包括 tomcat 6，tomcat 7的7.0.100以下版本，tomcat 8的8.5.51...
nginx 上傳漏洞及 discuz 漏洞處理
由於nginx早期的版本，至少我在用 0.9.x 的版本依舊存在漏洞，導致處理過的可以執行php 簡單的說就是寫好的php 將副檔名改為，如 xx.jpg 檔案後通過 discuz 等開源論壇的上傳功能上傳後可以通過 方式執行 xx.php裡面的 對於discuz 論壇使用nginx的伺服器可以使用...
常見漏洞及處理方法
1 sql注入 什麼是sql注入？就是使用者輸入特殊字元改變原有sql的語義，這就叫sql注入。我們看一下例子 首先建立乙個簡單的user表模擬一下sql注入，如圖所示 然後我們模擬一下使用者登入 username post username passwd post passwd sql selec...