shoucheng3/apache__jspwiki_cve-2019-10077_2-11-0-m3Módulo de exploit para Apache JSPWiki CVE-2019-10077, voltado para uma plataforma wiki baseada em Java com autenticação JAAS e controle de acesso. Permite testes de penetração de vulnerabilidades de aplicações web.
Licenciado para a Apache Software Foundation (ASF) sob um
ou mais acordos de licença de contribuidor. Veja o arquivo NOTICE
distribuído com este trabalho para informações adicionais
sobre direitos autorais. A ASF licencia este arquivo
para você sob a Apache License, Versão 2.0 (a
"Licença"); você não pode usar este arquivo exceto em conformidade
com a Licença. Você pode obter uma cópia da Licença em
http://www.apache.org/licenses/LICENSE-2.0
A menos que exigido pela lei aplicável ou acordado por escrito,
o software distribuído sob a Licença é distribuído em uma base
"COMO ESTÁ", SEM GARANTIAS OU CONDIÇÕES DE QUALQUER TIPO,
expressas ou implícitas. Consulte a Licença para o
idioma específico que rege permissões e limitações
sob a Licença.
O arquivo de licença pode ser encontrado em LICENSE.
O JSPWiki é um clone simples (bem, nem tanto) do WikiWiki, escrito em Java e JSP. Um WikiWiki é um site que permite que qualquer pessoa participe do seu desenvolvimento. O JSPWiki suporta todos os recursos tradicionais do wiki, além de controle de acesso muito detalhado e integração de segurança usando JAAS.
Ok, então você quer um Wiki? Você precisará das seguintes coisas:
OBRIGATÓRIO:
Um mecanismo JSP que suporte a Servlet API 3.1. Recomendamos o Tomcat do http://tomcat.apache.org/ para uma instalação realmente fácil. O Tomcat 8.x ou superior é suportado.
Alguma experiência anterior em administração... Se você já instalou o Apache ou qualquer outro servidor web, você deve estar bem.
E, claro, um servidor para rodar o mecanismo JSP.
JDK 8+
OPCIONAL:
Esta seção é para você, se você quiser apenas uma instalação muito rápida sem muitas preocupações. Se você quiser uma instalação mais complicada (com mais poder sobre como fazer as coisas), confira a seção "Instalação" abaixo.
Desde o JSPWiki 2.1.153, o JSPWiki vem com um mecanismo de instalação realmente simples. Basta fazer o seguinte:
Instale o Tomcat de http://tomcat.apache.org/ (ou qualquer outro contêiner de servlets)
Renomeie o arquivo JSPWiki.war do download e renomeie-o com base na
sua URL desejada (se você quiser diferente de /JSPWiki). Por exemplo,
se você quiser que sua URL seja http://.../wiki, renomeie-o para wiki.war.
Este nome será referido como abaixo.
Coloque este WAR na sua pasta $TOMCAT_HOME/webapps e depois inicie o Tomcat.
Aponte seu navegador para http://<myhost>/<appname>/Install.jsp
Responda a algumas perguntas simples
Reinicie seu contêiner
Aponte seu navegador para http://<myhost>/<appname>/
É isso aí!
Na pasta $TOMCAT_HOME/lib (ou equivalente baseado no seu contêiner de servlets),
coloque um arquivo jspwiki-custom.properties, que pode conter quaisquer substituições
para o arquivo padrão ini/jspwiki.properties no JSPWiki JAR. Para quaisquer valores
não colocados no arquivo jspwiki-custom.properties, o JSPWiki usará o arquivo padrão.
Revise o arquivo padrão para procurar valores que você deseje substituir no arquivo
personalizado. Alguns valores comuns para substituir no seu arquivo personalizado incluem
jspwiki.xmlUserDatabaseFile, jspwiki.xmlGroupDatabaseFile,
jspwiki.fileSystemProvider.pageDir, jspwiki.basicAttachmentProvider.storageDir,
e log4j.appender.FileLog.File. Os comentários no arquivo padrão sugerirão
valores apropriados para substituí-los.
O arquivo personalizado também pode ser colocado na pasta WEB-INF/ do WAR, mas armazenar
este arquivo em $TOMCAT_HOME/lib permite que você atualize o WAR do JSPWiki sem precisar
reinserir suas personalizações.
Descompacte o conteúdo de jspwiki-corepages.zip no seu diretório
rececriado. Você pode encontrar o restante da documentação no
arquivo JSPWiki-doc.zip.
(Re)inicie o Tomcat.
Aponte seu navegador para http://<onde seu Tomcat está instalado>/MyWiki/. Você deve ver a página principal do Wiki. Veja a próxima seção se quiser editar as páginas =).
O arquivo WEB-INF/jspwiki.policy é usado para alterar as permissões de acesso para
o Wiki.
Consulte o site do Apache JSPWiki e a documentação do projeto para sugestões adicionais de configuração e ajustes.
Por favor, leia o ReleaseNotes e o documento UPGRADING disponíveis com esta distribuição.
As perguntas podem ser feitas aos membros da equipe do JSPWiki e colegas usuários através da lista de discussão jspwiki-users: Veja http://jspwiki.apache.org/community/mailing_lists.html. Por favor, use a lista de discussão de usuários em vez de contatar os membros da equipe diretamente, e como esta é uma lista pública armazenada em arquivos públicos, certifique-se de evitar incluir qualquer informação sensível (senhas, dados, etc.) em suas perguntas.