月度存档: 11月 2010

绕过 Apache http代理继续DOS TOMCAT

  从长远的角度讲,一个完整的安全方案,应该是和现有架构本身的特性,是分开的,它并不能因为现有应用架构拦截了攻击,于是自己就表示影响不大。如果安全方案总是依靠应用现有的特性,那就要承受可能被绕过的隐患,这种隐患,导致我们总有一天,会不得不把补丁老老实实的打上去。如本文就是一个很好的例子。

[……]

read more–>

Tomcat远程拒绝服务漏洞分析(CVE-2010-2227)

  本篇是个分析POC的过程,压了N个月了,现在才发出来。使用分析出的POC,Tomcat除了最新的版本(具体见官网),以及JBOSS除了最新版本,都可以打,POC见文章。JBOSS官方已经偷偷发布了新版,其中包括漏洞修补,但是还没有发布公告。

[……]

read more–>