shoucheng3/apache__jspwiki_cve-2019-10078_2-11-0-m3وحدة استغلال لـ Apache JSPWiki CVE-2019-10078، تتيح اختبار الأمان لمنصات الويكي المبنية على Java من خلال استغلال الثغرات المستهدفة وتحليل التحكم في الوصول.
Licensed to the Apache Software Foundation (ASF) under one
or more contributor license agreements. See the NOTICE file
distributed with this work for additional information
regarding copyright ownership. The ASF licenses this file
to you under the Apache License, Version 2.0 (the
"License"); you may not use this file except in compliance
with the License. You may obtain a copy of the License at
https://www.apache.org/licenses/LICENSE-2.0
Unless required by applicable law or agreed to in writing,
software distributed under the License is distributed on an
"AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY
KIND, either express or implied. See the License for the
specific language governing permissions and limitations
under the License.
يمكن العثور على ملف الترخيص في LICENSE.
JSPWiki هو استنساخ بسيط (حسنًا، لم يعد كذلك) لنظام WikiWiki، مكتوب بلغة Java وJSP. WikiWiki هو موقع ويب يسمح لأي شخص بالمشاركة في تطويره. يدعم JSPWiki جميع ميزات الويكي التقليدية، بالإضافة إلى التحكم في الوصول المفصل للغاية والتكامل الأمني باستخدام JAAS.
حسنًا، إذًا أنت تريد Wiki؟ ستحتاج إلى الأشياء التالية:
مطلوب:
محرك JSP يدعم Servlet API 3.1. نوصي بـ Apache Tomcat لتثبيت سهل حقًا. يُنصح باستخدام Tomcat 9.x أو أحدث، على الرغم من أن Tomcat 8.x مدعوم أيضًا؛ راجع التكوين الإضافي الذي يجب إعداده لتشغيل JSPWiki على Tomcat 8.x.
بعض الخبرة الإدارية السابقة... إذا سبق لك تثبيت Apache أو أي خادم ويب آخر، فستكون في وضع جيد جدًا.
وبالطبع، خادم لتشغيل محرك JSP عليه.
JDK 11+
اختياري:
هذا القسم مخصص لك، إذا كنت تريد فقط تثبيتًا سريعًا حقًا دون كثير من المتاعب. إذا كنت تريد تثبيتًا أكثر تعقيدًا (بمزيد من التحكم في كيفية القيام بالأشياء)، فاطلع على قسم "Install" أدناه.
منذ JSPWiki 2.1.153، يأتي JSPWiki مع محرك تثبيت بسيط حقًا. فقط افعل ما يلي:
ثبّت Tomcat من https://tomcat.apache.org/ (أو أي حاوية servlet أخرى)
أعد تسمية ملف JSPWiki.war من التنزيل بناءً على
عنوان URL المطلوب (إذا كنت تريده مختلفًا عن /JSPWiki). على سبيل المثال،
إذا أردت أن يكون عنوان URL الخاص بك http://.../wiki، فأعد تسميته إلى wiki.war.
سيُشار إلى هذا الاسم باسم أدناه.
ضع ملف WAR هذا في مجلد $TOMCAT_HOME/webapps ثم ابدأ تشغيل Tomcat.
وجّه متصفحك إلى http://<myhost>/<appname>/Install.jsp
أجب عن بضعة أسئلة بسيطة
أعد تشغيل الحاوية
وجّه متصفحك إلى http://<myhost>/<appname>/
هذا كل شيء!
في مجلد $TOMCAT_HOME/lib (أو ما يعادله بناءً على حاوية servlet لديك)،
ضع ملف jspwiki-custom.properties، والذي يمكن أن يحتوي على أي تجاوزات لملف
ini/jspwiki.properties الافتراضي في JSPWiki JAR. بالنسبة لأي قيم غير
موجودة في ملف jspwiki-custom.properties سيعتمد JSPWiki على الملف الافتراضي.
راجع الملف الافتراضي للبحث عن القيم التي قد ترغب في تجاوزها في الملف المخصص.
تتضمن بعض القيم الشائعة التي يمكن تجاوزها في ملفك المخصص
jspwiki.xmlUserDatabaseFile، وjspwiki.xmlGroupDatabaseFile،
وjspwiki.fileSystemProvider.pageDir، وjspwiki.basicAttachmentProvider.storageDir،
وlog4j.appender.FileLog.File. ستقترح التعليقات في الملف الافتراضي
قيمًا مناسبة لتجاوزها بها.
يمكن أيضًا وضع الملف المخصص في مجلد WEB-INF/ الخاص بـ WAR، ولكن تخزين
هذا الملف في $TOMCAT_HOME/lib يتيح لك ترقية JSPWiki WAR دون الحاجة
إلى إعادة إدخال تخصيصاتك.
فك ضغط محتويات jspwiki-corepages.zip في الدليل الذي أنشأته حديثًا.
يمكنك العثور على بقية التوثيق في ملف JSPWiki-doc.zip.
(أعد) تشغيل Tomcat.
وجّه متصفحك إلى http://<حيث تم تثبيت Tomcat لديك>/MyWiki/. يجب أن تشاهد صفحة الويكي الرئيسية. راجع القسم التالي إذا كنت تريد تحرير الصفحات =).
يُستخدم ملف WEB-INF/jspwiki.policy لتغيير أذونات الوصول
للويكي.
تفقد موقع Apache JSPWiki الإلكتروني وتوثيق المشروع للحصول على اقتراحات إضافية للإعداد والتكوين.
صور Docker ليست إصدارات رسمية من ASF ولكنها مقدمة للراحة. الاستخدام الموصى به دائمًا هو بناء المصدر.
صورة Apache JSPWiki Docker متاحة على Docker Hub.
$ docker pull apache/jspwiki
$ docker run -d -p 8080:8080 --name jspwiki apache/jspwiki
ثم وجّه متصفحك إلى http://localhost:8080/، يجب أن يمنحك ذلك wiki يعمل فورًا!
راجع https://jspwiki-wiki.apache.org/Wiki.jsp?page=Docker للتخصيصات والاستخدام المتقدم للصورة.
يرجى قراءة المستندين ReleaseNotes وUPGRADING المتوفرين مع هذا التوزيع.
يمكن توجيه الأسئلة إلى أعضاء فريق JSPWiki والمستخدمين الآخرين عبر القائمة البريدية jspwiki-users: راجع https://jspwiki.apache.org/community/mailing_lists.html. يرجى استخدام القائمة البريدية للمستخدمين بدلاً من الاتصال المباشر بأعضاء الفريق، وبما أن هذه قائمة عامة مخزنة في أرشيفات عامة، فتأكد من تجنب تضمين أي معلومات حساسة (كلمات المرور، البيانات، إلخ) في أسئلتك.