CVE-2020-1938漏洞修复全攻略：彻底解决Tomcat AJP文件包含风险（附实操步骤）-拾贝生活号

你是否还在使用老旧版本的Apache Tomcat？如果你的服务启用了AJP协议，默认监听在8009端口，那么你的系统很可能正面临一个高危安全威胁——CVE-2020-1938（又称“Ghostcat”漏洞）。该漏洞允许攻击者远程读取Web应用下的任意文件，甚至可能导致代码执行和服务器沦陷。本文将为你深入剖析漏洞原理，并提供专业、可落地的修复方案，助你快速加固系统安全。

CVE-2020-1938漏洞修复全攻略：彻底解决Tomcat AJP文件包含风险（附实操步骤）

什么是CVE-2020-1938漏洞？

CVE-2020-1938，也被安全圈称为 “Ghostcat（幽灵猫）”，是Apache Tomcat中一个影响深远的高危安全漏洞（CVSS评分高达9.8），主要源于其AJP（Apache JServ Protocol）协议处理器的安全缺陷。

漏洞核心原理：

Tomcat默认配置了两个连接器（Connector）：

HTTP Connector：处理常规的HTTP/HTTPS请求，通常运行在8080或8443端口。
AJP Connector：用于与前端Web服务器（如Apache HTTP Server）高效通信，常用于反向代理或集群部署，默认开启并监听在8009端口。

问题出在AJP协议的处理逻辑上。攻击者可以构造恶意的AJP请求，通过协议中的特定数据包，篡改Java Web请求对象（HttpServletRequest）的内部属性，例如：

javax.servlet.include.request_uri
javax.servlet.include.path_info
javax.servlet.include.servlet_path

利用这些被操控的属性，攻击者就能绕过正常的访问控制，实现对webapps目录下任意文件的任意文件读取，比如关键的WEB-INF/web.xml、WEB-INF/classes/*.class等敏感配置和源码文件。如果应用本身存在文件上传功能，配合此漏洞，极有可能进一步导致远程代码执行（RCE），完全控制服务器。

📌 一句话总结：攻击者伪装成合法的AJP服务，向Tomcat发送“暗语”，诱导其泄露内部文件，形同“内鬼”作案。

哪些版本的Tomcat受影响？

根据Apache官方公告及主流安全平台分析，以下版本均存在此漏洞：

Tomcat 版本	受影响范围
Apache Tomcat 9.x	< 9.0.31
Apache Tomcat 8.x	< 8.5.51
Apache Tomcat 7.x	< 7.0.100
Apache Tomcat 6.x	所有版本

✅ 安全建议：请立即检查你的Tomcat版本！可通过以下方式查看：

1# 进入Tomcat bin目录执行
2./version.sh        # Linux/macOS
3version.bat         # Windows

或查看启动日志中的版本信息。

CVE-2020-1938漏洞修复方案（多场景适配）

针对不同运维环境和业务需求，我们提供三种专业级修复策略，按优先级推荐如下：

✅ 方案一：升级到安全版本（最推荐）

这是最彻底、最根本的解决方案。Apache官方已在后续版本中修复了该漏洞。

升级目标版本：

Tomcat 9.x → 升级至 9.0.31 或更高
Tomcat 8.x → 升级至 8.5.51 或更高
Tomcat 7.x → 升级至 7.0.100 或更高

操作步骤：

备份原环境：完整备份当前Tomcat目录（尤其是conf、webapps、logs）。
下载新版Tomcat：

官方下载地址：https://tomcat.apache.org/download-90.cgi
建议从官方归档站下载稳定版，如 9.0.35、8.5.55 等。

迁移配置与应用：

将旧版中的 webapps 应用目录、conf/server.xml、conf/tomcat-users.xml 等自定义配置复制到新版本中。

验证SHA512校验值（确保下载文件未被篡改）
```
1# Linux/macOS
2sha512sum apache-tomcat-9.0.35.tar.gz
```
停止旧服务，启动新实例，检查日志确认版本号及业务正常。

⚠️ 注意：升级前务必在测试环境充分验证，避免因版本差异导致兼容性问题。

✅ 方案二：关闭AJP连接器（适用于未使用AJP的用户）

如果你的架构中并未使用AJP协议（例如直接通过Nginx反代HTTP端口），强烈建议直接关闭AJP服务，简单高效且无副作用。

操作步骤：

编辑Tomcat配置文件：
```
1vi $CATALINA_HOME/conf/server.xml
```

找到AJP Connector配置行：

1<Connector port="8009" protocol="AJP/1.3" redirectPort="8443" />

注释或删除该行：

1<!-- <Connector port="8009" protocol="AJP/1.3" redirectPort="8443" /> -->

保存文件，重启Tomcat服务：
```
1./shutdown.sh && ./startup.sh
```
验证8009端口是否已关闭：
```
1netstat -tuln | grep 8009
```

✅ 方案三：启用AJP认证（secret）（适用于必须使用AJP的用户）

若你的生产环境依赖AJP协议（如与Apache HTTPD集成），无法关闭，则必须为AJP连接器添加认证密钥（Secret），防止未授权访问。

操作步骤：

修改 server.xml 文件中的AJP Connector配置：

1<Connector port="8009"
2           protocol="AJP/1.3"
3           redirectPort="8443"
4           address="127.0.0.1"  <!-- 强烈建议绑定到本地回环地址 -->
5           secret="Your_Super_Secure_Random_String_123!" />

🔐 关键参数说明：

secret：设置一个高强度、随机生成的密钥（至少16位，含大小写字母、数字、符号）。
address="127.0.0.1"：限制AJP仅监听本地，避免暴露在公网。

同时，前端代理服务器（如Apache）也需配置相同的secret才能正常通信。
重启Tomcat生效。

💡 安全提示：即使不升级版本，添加secret也能有效防御该漏洞，但仍建议尽快升级至最新稳定版以获取其他安全补丁。

如何验证漏洞是否已修复？

完成修复后，请通过以下方式验证：

端口扫描：使用nmap检查8009端口是否关闭或受限。
POC工具检测（谨慎使用）：可使用GitHub上的公开检测脚本（如 zhzyker/exphub）进行验证，但切勿在生产环境随意执行读写操作。
```
1python cve-2020-1938_exp.py -p 8009 -f WEB-INF/web.xml your-server-ip
```
若返回“Connection refused”或“Authentication failed”，则表明修复成功。