CSDN

【工具推荐】TomcatWeakPassChecker v2.2(最新版本) - Tomcat 漏洞一键漏洞利用getshell

2024-09-05 16:03 由 网络安全武器库 发表于 #其他

工具介绍：
一键tomcat漏洞批量弱口令检测、后台部署war包getshell，该脚本用于检查Apache Tomcat管理页面的弱密码，并尝试通过上传自定义WAR包部署Godzilla Webshell。如果成功，将记录成功登录的信息以及获取到的Webshell地址。

下载地址

链接：https://pan.quark.cn/s/2062b75c4312

环境安装：
通过以下命令安装所需模块：

pip install -r requirements.txt

使用方法

  1. 准备包含URL、用户名和密码的文本文件，分别命名为urls.txt、user.txt和passwd.txt。

  2. urls.txt保存格式：https://127.0.0.1/ 或者 https://127.0.0.1/manager/html 脚本会自行判断检测

  3. 在config.yaml中配置文件路径和其他设置。

  4. 运行脚本，将会在success.txt文件中记录成功的登录信息和Webshell的URL。

    python TomcatWeakPassChecker.py

功能

1. CVE-2017-12615 漏洞检测

  • 工具支持三种利用方式：

    PUT /1.jsp/

    PUT /1.jsp%20

    PUT /1.jsp::$DATA

  • 成功上传后，工具会尝试访问并执行上传的 JSP 文件，判断是否能远程执行代码。

  • 对每种利用方式的结果分别记录成功或失败状态。

2. 弱口令检测

  • 支持通过用户名与密码组合进行弱口令暴力破解。
  • 若登录成功，将自动尝试上传 Godzilla Webshell，提供远程访问能力。
  • 登录成功与否均会详细记录。

3. 后台部署 WAR 包 getshell

  • 在弱口令破解成功后，工具会尝试通过 Tomcat 管理后台上传 WAR 包，以获取远程代码执行权限。
  • 部署的 WAR 包会在服务器上解压并生成 JSP Shell 文件，成功上传后，工具会访问并执行该 Shell。
  • 支持通过配置文件自定义 WAR 包和 Shell 文件的内容。