网站安全检测
Java 是目前 Web 开发中最主流的编程语言，而 Tomcat 是当前最流行的 Java 中间件服务器之一，从初版发布到现在已经有二十多年历史，在世界范围内广泛使用。
Apache Tomcat服务器存在文件包含漏洞（CNVD-ID：CNVD-2020-10487，CVE ID：CVE-2020-1938，危害级别：高），是存在于 Tomcat 中的安全漏洞，由于 Tomcat AJP 协议设计上存在缺陷，攻击者通过 Tomcat AJP Connector 可以读取或包含 Tomcat 上所有 webapp 目录下的任意文件，例如可以读取 webapp 配置文件或源代码。除此之外在目标应用有文件上传功能的情况下，配合文件包含的利用还可以达到远程代码执行的危害。
1. 如未使用Tomcat AJP协议：
A：可以直接将 Tomcat 升级到 9.0.31、8.5.51或 7.0.100 版本进行漏洞修复。
B：如无法立即进行版本更新、或更老版本的用户，建议直接关闭AJPConnector（或将其监听地址改为仅监听本机）。
具体操作：
（1）在
（2）保存后需重新启动，配置方可生效。
2. 如果使用了Tomcat AJP协议：
A：建议将Tomcat立即升级到9.0.31、8.5.51或7.0.100版本进行修复，同时为AJP Connector配置secret来设置AJP协议的认证凭证。
具体操作：
（1）在
（2）保存后需重新启动，配置方可生效。
B: 如无法立即进行版本更新、或者是更老版本的用户，建议为AJPConnector配置requiredSecret来设置AJP协议认证凭证。
（1）在
（2）保存后需重新启动，配置方可生效。
建议用户前往Tomcat官方链接下载使用：
https://tomcat.apache.org/download-70.cgi
三六零云探安全监测系统是遵循360在总结多年市场经验和客户需求基础上提出的一款面向党政军、金融、教育和互联网用户的基于SaaS的网站应用安全监测服务产品，依赖于 360 安全大脑，以及 360 在搜索、终端 安全、网站安全等方面积累的数亿用户群和海量数据，可有效监测网站的异常，持续挖掘网 站风险，充分预警各类网站安全事件，为用户提供网站漏洞扫描、网页篡改监测、网页挂马 监测、黑词/暗链监测、可用性监测、仿冒/钓鱼网站监测、未知资产监测等安全监测服务。
立即咨询云服务高可靠
全面多样
监测可视化
闭环安全运营
快明稳全准
疫情面前不退缩, 提供7*24小时100%准确率的风险告警，障网络安全。
为护航医疗单位、政府机构、防疫救灾部门及各大企事业单位网站稳定，2月3日起至疫情结束，三六零云探免费为企业网站提供安全监测服务。
免费检测
请联系我们
如果您需要做应急处理或者对我们的产品有任何疑问（工作时间周一至周五9:00-18:00）
邮箱
yuntan@360.cn
微信公众号
360云安全