1.在虚拟机上安装 Tomcat 7
sudo apt-get install tomcat7
2.如果第一步失败，请设置 JDK_DIRS="/usr/lib/jvm/java-8-oracle" 并添加语句“export JAVA_HOME=/usr/lib/jvm/java-8-oracle”和 “export CATALINA_HOME=/usr/share/tomcat7”。然后重新安装 Tomcat 7
3.为 Tomcat 用户设置初始密码
sudo passwd tomcat7
4.为 Tomcat 用户分配登录 shell
sudo usrmod -s /bin/bash tomcat7
5.建立 Tomcat 7 用户 shell
ssh tomcat7@localhost
1.通过 Tomcat7 用户 shell 在 /tmp 创建攻击脚本 attack.sh，然后使攻击代码可执行
touch attack.sh
chmod +x attack.sh
2.运行攻击代码
./attack.sh
3.重启 Tomcat 服务器以检查攻击结果。
sudo service tomcat7 restart
4.检查用户 ID
id
然后攻击应该成功，euid 应为 0，即 root。
# Run the catalina.sh script as a daemon
set +e
touch "$CATALINA_PID" "$CATALINA_BASE"/logs/catalina.out
chown $TOMCAT7_USER "$CATALINA_PID" "$CATALINA_BASE"/logs/catalina.out
start-stop-daemon --start -b -u "$TOMCAT7_USER" -g "$TOMCAT7_GROUP" \
-c "$TOMCAT7_USER" -d "$CATALINA_TMPDIR" -p "$CATALINA_PID" \
-x /bin/bash -- -c "$AUTHBIND_COMMAND $TOMCAT_SH"
status="$?"
set +a -e
return $status
上面的代码是权限提升的关键。由于它以 root 权限运行，它能做任何我们想做的事情。然后我们需要将 catalina.out 的所有者更改为 tomcat7 用户。在我们重启 Tomcat 之后，我们能够读取 catalina 指向的文件。
具体来说，当 Tomcat 重启时，它会把 catalina.out 的所有者改为 Tomcat 用户，而重启是由 Linux init 调用的。利用 Linux init，我们可以使用符号链接将任何文件的所有者更改为 Tomcat 用户。如果我们将 catalina.out 符号链接到任何文件，我们就能以 catalina.out 赋予的 root 权限操作系统中的任何文件。这是典型的 DLL 劫持利用。