实例讲解：全程追踪入侵JSP网站服务器

而采用JAD软件对下载的class文件反编译后，原始的Java文件甚至变量名都不会改变。如果网页制作者开始把数据库的用户名密码都写在了Java代码中，反编译后，说不定还能看到数据库的重要信息。那么，怎么得到这些文件呢？

　　Tomcat版本的缺省“/admin”目录是很容易访问的。输入：http://202.103.*.168/admin/，管理员目录赫然在列。默认情况下，“User Name”应该是admin，“Password”应该是空，输入用户和密码后，并点击“Login”按钮，不能进入，陆续使用了几个比较常见的密码，也无济于事。

　　默认情况下，Tomcat打开了目录浏览功能，而一般的管理员又很容易忽视这个问题。也就是说，当要求的资源直接映射到服务器上的一个目录时，由于在目录中缺少缺省的index.jsp等文件，Tomcat将不返回找不到资源的404错误，而是返回HTML格式的目录列表。

　　想到了这点后，我打开刚才用X-Scan扫描后生成的报表文件，找到“安全漏洞及解决方案”栏目，看到了几个可能会有CGI漏洞的目录。在地址栏输入其中之一，返回结果如图1所示。

　　一些很典型的JSP文件和JS文件都列出来了。大喜之下，随便选择一个文件，点击右键，然后，选择“用FlashGet下载全部链接”选项，于是，这个目录下的所有文件都被我下载到了本地。

　　其中最有价值的是一个名字为dbconn.js的文件，看来程序设计者是为了方便省事，把一些数据库连接的密码和连接地址都写在里面了（这是很多开发者可能会忽略的问题）。不过，我现在最关心的还是Tomcat的管理员密码。

　　简单破解后，发现Tomcat系统中的admin用户使用了非常简单的口令：web123456。利用这个漏洞，有了这个密码，下面的工作就相对简单了。

　　专家支招：对于网站中的漏洞，我们要即时打上各种补丁，然后对几个已知的安全弱势方面进行加强，比如我们可以将“/admin”目录进行修改，让入侵者不容易找到管理路径。然后关闭Tomcat的目录浏览功能，让入侵者的漏洞尝试彻底失败。