shoucheng3/apache__jspwiki_cve-2019-10078_2_11_0_m4_fixedRepository di test per exploit per Apache JSPWiki CVE-2019-10078, che dimostra una vulnerabilità di cross-site scripting in una piattaforma wiki basata su Java con integrazione di sicurezza JAAS.
Concesso in licenza all'Apache Software Foundation (ASF) con uno
o più accordi di licenza dei contributori. Vedere il file NOTICE
distribuito con questo lavoro per informazioni aggiuntive
sulla proprietà del copyright. L'ASF concede in licenza questo file
a te secondo la Apache License, Versione 2.0 (la
"Licenza"); non puoi utilizzare questo file se non in conformità
con la Licenza. Puoi ottenere una copia della Licenza all'indirizzo
http://www.apache.org/licenses/LICENSE-2.0
Salvo quanto richiesto dalla legge applicabile o concordato per iscritto,
il software distribuito secondo la Licenza è distribuito su base
"AS IS", SENZA GARANZIE O CONDIZIONI DI ALCUN TIPO, esplicite o
implicite. Consultare la Licenza per il testo completo delle
autorizzazioni e delle limitazioni previste dalla Licenza.
Il file di licenza si trova in LICENSE.
JSPWiki è un clone semplice (beh, non più) di WikiWiki, scritto in Java e JSP. Un WikiWiki è un sito web che consente a chiunque di partecipare al suo sviluppo. JSPWiki supporta tutte le funzionalità wiki tradizionali, oltre a un controllo degli accessi molto dettagliato e all'integrazione della sicurezza tramite JAAS.
Ok, quindi vuoi un Wiki? Avrai bisogno delle seguenti cose:
RICHIESTO:
Un motore JSP che supporti Servlet API 3.1. Raccomandiamo Tomcat da http://tomcat.apache.org/ per un'installazione davvero semplice. Tomcat 8.x o successivo è supportato.
Un po' di esperienza di amministrazione... Se hai mai installato Apache o qualsiasi altro server web, dovresti essere a posto.
E, naturalmente, un server su cui eseguire il motore JSP.
JDK 8+
OPZIONALE:
Questa sezione è pensata per te, se desideri solo un'installazione molto rapida senza troppe preoccupazioni. Se desideri un'installazione più complicata (con maggiore controllo su come fare le cose), dai un'occhiata alla sezione "Installazione" qui sotto.
Dalla versione 2.1.153 di JSPWiki, JSPWiki include un motore di installazione davvero semplice. Basta fare quanto segue:
Installa Tomcat da http://tomcat.apache.org/ (o qualsiasi altro contenitore servlet)
Rinomina il file JSPWiki.war dal download e chiamalo in base
all'URL desiderato (se lo vuoi diverso da /JSPWiki). Ad esempio,
se vuoi che il tuo URL sia http://.../wiki, rinominalo in wiki.war.
Questo nome verrà indicato come qui sotto.
Posiziona questo WAR nella cartella $TOMCAT_HOME/webapps e quindi avvia Tomcat.
Punta il browser su http://<myhost>/<appname>/Install.jsp
Rispondi a un paio di semplici domande
Riavvia il contenitore
Punta il browser su http://<myhost>/<appname>/
Questo è tutto!
Nella cartella $TOMCAT_HOME/lib (o equivalente in base al tuo contenitore servlet),
posiziona un file jspwiki-custom.properties, che può contenere qualsiasi
sovrascrittura rispetto al file ini/jspwiki.properties predefinito
contenuto nel JAR di JSPWiki. Per qualsiasi valore non
inserito nel file jspwiki-custom.properties, JSPWiki farà affidamento sul file
predefinito. Rivedi il file predefinito per cercare valori che potresti voler
sovrascrivere nel file personalizzato. Alcuni valori comuni da sovrascrivere
nel tuo file personalizzato includono jspwiki.xmlUserDatabaseFile,
jspwiki.xmlGroupDatabaseFile, jspwiki.fileSystemProvider.pageDir,
jspwiki.basicAttachmentProvider.storageDir, e
log4j.appender.FileLog.File. I commenti nel file predefinito suggeriranno
valori appropriati con cui sovrascriverli.
Il file personalizzato può anche essere posizionato nella cartella WEB-INF/
del WAR, ma memorizzare questo file in $TOMCAT_HOME/lib ti consente di
aggiornare il WAR di JSPWiki senza dover reinserire le tue personalizzazioni.
Decomprimi il contenuto di jspwiki-corepages.zip nella tua directory
appena creata. Puoi trovare il resto della documentazione nel file
JSPWiki-doc.zip.
(Ri)avvia tomcat.
Punta il browser su http://<dove è installato Tomcat>/MyWiki/. Dovresti vedere la pagina principale del Wiki. Consulta la sezione successiva se desideri modificare le pagine =).
Il file WEB-INF/jspwiki.policy viene utilizzato per modificare i permessi
di accesso per il Wiki.
Controlla il sito web di Apache JSPWiki e la documentazione del progetto per ulteriori suggerimenti su configurazione e installazione.
Leggi ReleaseNotes e il documento UPGRADING disponibile con questa distribuzione.
Le domande possono essere poste ai membri del team di JSPWiki e agli altri utenti tramite la mailing list jspwiki-users: Vedi http://jspwiki.apache.org/community/mailing_lists.html. Si prega di utilizzare la mailing list degli utenti invece di contattare direttamente i membri del team, e poiché questa è una lista pubblica archiviata in archivi pubblici, assicurati di evitare di includere informazioni sensibili (password, dati, ecc.) nelle tue domande.