Tomcat 安全配置与后台部署 getshell｜CISP-PTE核心考点

通过后台管理部署恶意 WAR 包 getshell。

存放后台管理账号密码等配置（conf/tomcat-users.xml）。

考点精讲

Tomcat 安全设置：启动权限（bin/daemon.sh、conf/server.xml）、后台管理地址与修改管理账号密码（conf/tomcat-users.xml）、隐藏版本信息（conf/server.xml）、禁止目录列表。常见漏洞：通过后台部署 shell（WAR 包 getshell）。日志审计需关注 localhost、catalina、manager、host-manager、localhost_accesslog 五类日志。

后台部署 WAR 包 getshell = Tomcat 核心利用
tomcat-users.xml 管后台账号密码

【示例】 Tomcat 后台部署 getshell 的核心是（）
上传 PHP 一句话木马　部署包含 JSP 木马的 WAR 包　SQL 注入　XSS 盗取 Cookie
答案：B
解析：Tomcat 是 Java 中间件，后台部署 WAR 包（内含 JSP 木马）是典型 getshell 手法，B 正确；上传 PHP 木马不适用于 Tomcat。

Q：Tomcat 如何通过后台 getshell？

A：登录 Tomcat 后台管理界面，上传/部署一个 WAR 包（内含 JSP 木马），部署成功后即可访问木马 getshell。

Q：tomcat-users.xml 是干什么的？

A：是 Tomcat 的配置文件，用于定义后台管理账号、密码及角色权限。

Q：如何隐藏 Tomcat 版本信息？

A：在 conf/server.xml 中配置隐藏版本信息。

Q：Tomcat 有哪几类日志？

A：localhost、catalina、manager、host-manager、localhost_accesslog 五类日志。