Pour commencer

Le but de cette preuve de concept est de montrer comment il est possible d'utiliser la CVE-2017-12617 pour obtenir un contrôle à distance sur un serveur Apache Tomcat.

Instructions

1. Veuillez exécuter cette commande pour lancer le serveur.

make server_up

2. Exécutez cette commande pour lancer l'attaque et télécharger un webshell sur le serveur (nécessite cURL).

make attack

Si cette commande n'ouvre pas votre navigateur, vous pouvez vous rendre à : http://localhost:8080/web_shell.jsp?cmd=pwd

Vous aurez désormais accès à un webshell sur le serveur, directement dans votre navigateur.

Questions

Si vous rencontrez des problèmes pour exécuter cette preuve de concept, veuillez créer un ticket à l'adresse : https://github.com/ygouzerh/CVE-2017-12617/issues , nous ferons de notre mieux pour vous répondre dans les plus brefs délais.