解决Apache Tomcat Default Files的Nessus中危漏洞

第二 ，有大量项目需要发布怎么办？当然，最古老的方式就是一个系统一个系统手动发布。如果是微服务及应用较多，不仅容易出现错误，而且耗时较长。这就提醒我们，构建自动化发布流程的重要性。

【问题描述】

solr漏洞 sonar漏洞和bug区别solr漏洞 sonar漏洞和bug区别


solr漏洞 sonar漏洞和bug区别


XREF CWE:900

Nessus扫描出的Tomcat默认文件相关的中危漏洞，如下：

Synopsis

The remote web server contains default files.

The default error page, default index page, example JSPs, and/or example servlets are installed on the remote Apache Tomcat server. These files should be removed as they may an attacker uncover rmation about the remote Tomcat install or host itself.

Solution

Delete the default index page and remove the example JSP and servlets. FolSee Alsolow the Tomcat or OWASP instructions to replace or modify the default error page.

Medium

CVSS v3.0 Base Score

7.3 (CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:L)

CVSS Base Score

6.8 (CVSS2#AV:N/AC:M/Au:N/C:P/I:P/A:P)

XREF CWE:20

XREF CWE:74

XREF CWE:79

XREF CWE:442

XREF CWE:629

XREF CWE:711

XREF CWE:712

XREF CWE:722

XREF CWE:725

XREF CWE:751

XREF CWE:800

XREF CWE:801

XREF CWE:809

XREF CWE:811

XREF CWE:864

XREF CWE:928

XREF CWE:931

XREF CWE:990

Plugin Information:

Plugin Output

tcp/8983

The following default files were found :

/nessus-check/default-404-error-page.html

【解决方法】

参照

替换404页面为自定义的404页面，去除tomcat版本号即可。

1、在web.xml中增加error-page的配置

2、自定义solr_error_page.html页面，页面中不要存放tomcat版本号。

（2019-06-12 更新）由于Nessus扫描库升级，规则变更，导致该自定义页面solr_error_page.html又被扫描出来了，因此干脆将该页面修改为最简模式，如下：

3、将自定义solr_error_page.html页面放置在如下web应用目录和ROOT下。

Log4j史诗级漏洞，我们这些小公司能做些什么？

Apache Log4j2是一款的Ja日志框架，与Logback平分秋色，大量主流的开源框架采用了Log4j2，像Apache Struts2、Apache Solr、Apache Druid、Apache Flink等均受影响。所以，这样一个底层框架出现问题，影响面可想而知。

12月10日，看到朋友圈中已经有人在通宵修改、上线系统了。随即，又看到阿里云安全、腾讯安全部门发出的报告：” Apache Log4j2存在远程代码执行漏洞 “，且漏洞已对外公开。

5、掌握elasticsearchsolr等开源搜索引擎，能够搭建搜索引擎实现各种搜索以及排序任务。

作为一个史诗级的，紧急修改漏洞是必然的。作为程序员，如果看到这则消息，连去核查一下系统都做不到，那真的不是一个合格的程序员。

经历过这次，不仅是看热闹而已，还要思考一下，作为小公司如何避免、提前预防、做好准备应对这类Bug。

漏洞信息： A看到相关消息，马上爬起来把所有项目的日志系统过滤一遍，还好老项目采用的log4j，新项目采用的logback，没有中招。随后就看到朋友圈铺天盖地的相关消息。pache Log4j 2.15.0-rc1 版本存在漏洞绕过，需及时更新至 Apache Log4j 2.15.0-rc2 版本。

影响范围：2.0 <= Apache log4j2 <= 2.14.1。

方案二：临时补救：

攻击伪代码示例：

腾讯安全专家的回复现如下：

关于漏洞及解决方案，上面已经详细聊了，问题基本得以解决。在大的互联网企业，是有专门的安全运维部门来、扫描这些漏洞的。但在小公司，很显然没有这样的条件。

在大企业，一旦发现这样的漏洞，安全部门会时间进行通知。但在小企业，没有安全部门，你是如何获取到漏洞的消息的呢？

比如我所在的企业，是没有安全部门的，但也几乎是时间得知漏洞消息，进行系统排查的。

如何获得圈内手消息，取决于也反映着你在社交圈或技术圈所处的位置与现状 。

很多朋友可能也看到了这则漏洞消息，但也就是看一下热闹，然后该干嘛干嘛了，系统有漏洞就有漏洞了呗~

如果你是如此，或者你的团队是如此，你真的需要反省一下职业素养问题了。

很多人可能觉得自己很牛，觉得自己怀才不遇，觉得工资收入低，觉得被亏待……那么，对照一下对这件事所作出的反应，基本就知道自己是不是被亏待了。

这样的突发，也是对系统运维、团队管理的一个考验，也是一个仿真练习：大家都正在进行着当前业务的开发，有一个突发Bug要修改，改一半的代码如何作？如大面积发布？

，改一半的代码怎么办？如果你的团队的代码开发都是基于（主干）进行开发、提交代码，针对这样的突发，必然会面对改了一半的代码，提交了，想一起发布但还没测试，这种骑虎难下的局面。

所以，代码的管理（如何打分支、合并分支、分支与主干代码不同环境的发布）必须得从日常的点滴做起，当突发发生时，也不至于手忙脚乱。

有安全部门的公司，会定期扫描系统漏洞，那么没有安全部门的公司只能坐以待毙吗？

任何一个漏洞对软件系统来说都有可能是致命的，也是需要我们谨慎对待的。对于漏洞的处理及做出的反应也是从业者职业素养的体现。

而如果能从一次次突发中学习、思考到更多内容，你将比别人更快地成长。

什么是后端工程师？

方案一：升级版本，发布系统；

“后端工程师”的意思是负References责数据提供，熟悉后端流See Also程，熟练掌握一种后端工具的使用，学会如何使用工具分析功耗及其对设计的影响的人群。要求如下：

2、了解ansible、salt、puppet等自动化运维技术，了解docker，熟练掌握shell脚本处理线上问题。

4、知道常规的算法和数据结构，通过分析代码能了解架构的计算复杂度和性能，并针对性做出优化。

Apache Log4j2远程代码执行漏洞

那么，我们该怎么办？同时，作为的经历者，你是否思考过这个中反映出的一些其他问题吗？

一、情况分析

二、影响范围

Apache Log4j2是一个基于Ja的日志记录工具。该工具重写了Log4j框架，并且引入了大量丰富的特性。该日志框架被大量用于业务系统开发，用来记录日志信息。大多数情况下，开发者可能会将用户输入导致的错误信息写入日志中。此次漏洞触发条件为只要外部用户输入的数据会被日志记录，即可造成远程代码执行。

Apache Log4j 2.x <= 2.14.1

1、升级Apache Log4j2所有相关应用到的log4j-2.15.0-rc1版本，地址s://

2、升级已知受影响的应用及组件，如spring-boot-start-log4j2/Apache Solr/Apache Flink/Apache Druid

排查方法：到搜索排查Ja应用是否引入 log4j-api , log4j-core 两个jar包，影响版本：Apache Log4j 2.x <= 2.14.1

参考链由于Apache Log4j2在JAVA应用中使用量大，目前已知受影响的组件应用有：Apache Struts2、Apache Solr、Apache Druid、Apache Flink，但问题不仅仅局限在这些项目，用Ja开发的系统都有可能用此日志框架。接

Log4j史诗级漏洞，我们这些小公司能做些什么？

原因是tomcat默认的404页面带了tomcat的版本号，被Nessus扫描工具认定为中危漏洞。只需将该页面的tomcat版本号去除即可。

12月10日，看到朋友圈中已经有人在通宵修改、上线系统了。随即，又看到阿里云安全、腾讯安全部门发出的报告：” Apache Log4j2存在远程代码执行漏洞 “，且漏洞已对外公开。

作为一个史诗级的，紧急修改漏洞是必然的。作为程序员，如果看到这则消息，连去核查一下系统都做不到，那真的不是一个合格的程序员。

经历过这次，不仅是看热闹而已，还要思考一下，作为小公司如何避免、提前预防、做好准备应对这类Bug。

漏洞信息： Apache Log4j 2.15.0-rc1 版本存在漏洞绕过，需及时更新至 Apache Log4j 2.15.0-rc2 版本。

影响范围：2.0 <= Apache log4j2 <= 2.14.1。

方案二：临时补救：

攻击伪代码示例：

腾讯安全专家的回复现如下：

关于漏洞及解决方案，上面已经详细聊了，问题基本得以解决。在大的互联网企业，是有专门的安全运维部门来、扫描这些漏洞的。但在小公司，很显然没有这样的条件。

在大企业，一旦发现这样的漏洞，References安全部门会时间进行通知。但在小企业，没有安全部门，你是如何获取到漏洞的消息的呢？

比如我所在的企业，是没有安全部门的，但也几乎是时间得知漏洞消息，进行系统排查的。

如何获得圈内手消息，取决于也反映着你在社交圈或技术圈所处的位置与现状 。

很多朋友可能也看到了这则漏洞消息，但也就是看一下热闹，然后该干嘛干嘛了，系统有漏洞就有漏洞了呗~

如果你是如此，或者你的团队是如此，你真的需要反省一下职业素养问题了Risk Factor。

很多人可能觉得自己很牛，觉得自己怀才不遇，觉得工资收入低，觉得被亏待……那么，对照一下对这件事所作出的反应，基本就知道自己是不是被亏待了。

这样的突发，也是对系统运维、团队管理的一个考验，也是一个仿真练习：大家都正在进行着当前业务的开发，有一个突发Bug要修改，改一半的代码如何作？如大面积发布？

，改一半的代码怎么办？如果你的团队的代码开发都是基于（主干）进行开发、提交代码，针对这样的突发，必然会面对改了一半的代码，提交了，想一起发布但还没测试，这种骑虎难下的局面。

所以，代码的管理（如何打分支、合并分支、分支与主干代码不同环境的发布）必须得从日常的点滴做起，当突发发生时，也不至于手忙脚乱。

有安全部门的公司，会定期扫描系统漏洞，那么没有安全部门的公司只能坐以待毙吗？

任何一个漏洞对软件系统来说都有可能是致命的，也是需要我们谨慎对待的。对于漏洞的处理及做出的反应也是从业者职业素养的体现。

而如果能从一次次突发中学习、思考到更多内容，你将比别人更快地成长。

Apache Log4j2远程代码执行漏洞

XREF CWE:750

一、情况4、重启tomcat服务方可生效。分析

1、能够使用一门或者数门语言构造大型应用。

Apache Log4j2是一个基于Ja的日志记录工具。该工具重写了Log4j框架，并且引入了大量丰富的特性。该日志框架被大量用于业务系统开发，用来记录日志信息。大多数情况下，开发者可能会将用户输入导致的错误信息写入日志中。此次漏洞触发条件为只要外部用户输入的数据会被日志记录，即可造成远程代码执行。

Apache Log4j 2.x <= 2.14.1

1、升级Apache Log4j2所有相关应用到的log4j-2.15.0-rc1版本，地址s://

2、升级已知受影响的应用及组件，如spring-boot-start-log4j2/Apache Solr/Apache Flink/Apache Druid

排查方法：到搜索排查Ja应用是否引入 log4j-api , log4j-core 两个jar包，影响版本：Apache Log4j 2.x <= 2.14.1

参考链接

什么是后端工程师？

【问题分析】

“后端工程师”的意思是负责数据提供，熟悉后端流程，熟练掌握一种后端工具的使用，学会如何使用工具分析功耗及其对设计的影响三、处置建议的人群。要求如下：

2、了解ansible、salt、puppet等自动化运维技术，了解docker，熟练掌握shell脚本处理线上问题。

4、知道常规的算法和数据结构，通过分析代码能了解架构的计算复杂度和性能，并针对性做出优化。

解决Apache Tomcat Default Files的Nessus中危漏洞

log4j2漏洞复现

【问题描述】

Nessus扫描出的Tomcat默认文件相关的中危漏洞，如下：

Synopsis

The remote web server contains default files.

The default error page, default index page, example JSPs, and/or example servlets are installed on the remote Apache Tomcat server. These files should be removed as they may an attacker uncover rmation about the remote Tomcat install or host itself.

Solution

Delete the default index page and remove the example JSP and servlets. Follow the Tom基于上述代码的基本攻击步骤：cat or OWASP instructions to replace or modify the default error page.

Medium

CVSS v3.0 Base Score

7.3 (CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:L)

CVSS Base Score

6.8 (CVSS2#AV:N/AC:M/Au:N/C:P/I:P/A:P)

XREF CWE:20

XREF CWE:74

XREF CWE:79

XREF CWE:442

XREF CWE:629

XREF CWE:711

XREF CWE:712

XREF CWE:722

XREF CWE:725

XREF CWE:751

XREF CWE:800

XREF CWE:801

XREF CWE:809

XREF CWE:811

XREF CWE:864

XREF CWE:928

XREF CWE:931

XREF CWE:990

Plugin Information:

Plugin Output

tcp/8983

The following default files were found :

/nessus-check/default-404-error-page.html

【解决方法】

参近日，监测发现互联网中出现 Apache Log4j2 远程代码执行漏洞。攻击者可利用该漏洞构造特殊的数据请求包，最终触发远程代码执行。由于该漏洞影响范围极广，建议广大用户及时排查相关漏洞。照

替换404页面为自定义的404页面，去除tomcat版本号即可。

1、在web.xml中增加error-page的配置

2、自定义solr_error_page.html页面，页面中不要存放tomcat版本号。

（2019-06-12 更新）由于Nessus扫描库升级，规则变更，导致该自定义页面solr_error_page.html又被扫描出来了，因此干脆将该页面修改为最简模式，如下：

3、将自定义solr_error_page.html页面放置在如下web应用目录和ROOT下。

后端工程师是做什么的

3、能够规避修复版本：常见的安全漏洞，处理各种网络攻击。

后端工程师主要的工作内容是负责数据提供，熟悉后端流程，熟练掌握一种后端工具的使用，学会如何使用工具分析功耗及其对设计的影响的人群。

后端工程师需要Published: 2004/03/02, Modified: 2018/01/30具备的能力有以下几点：

2、了解ansible、salt、puppet等自动化运维技术，了解docker，熟练掌握shell脚本处理线上问题。

4、知道常规的算法和数据结构，通过分析代码能了解架构的计算复杂度和性能，并针对性做出优化。

后端工程师是做什么的

5、掌握elasticsearchsolr等开源搜索引擎，能够搭建搜索引擎实现各种搜索以及排序任务。

后端工程师主要的工作内容是负责数据提供，熟悉后端流程，熟练掌握一种后端工具的使用，学会如何使用工具分析功耗及其12085 - Apache Tomcat Default Files -对设计的影响的人群。

后端工程师需要具备的能力有以下几点：

2、了解ansible、salt、puppet等自动化运维技术，了解docker，熟练掌握shell脚本处理线上问题。

4、知Description道常规的算法和数据结构，通过分析代码能了解架构的计算复杂度和性能，并针对性做出优化。