?? 今天真倒霉，學(xué)員通過(guò)Tomcat黑了我的計(jì)算機(jī)!
?? 下面先說(shuō)說(shuō)怎么被黑的過(guò)程吧！我昨天講解在Servlet程序中如何讀寫資源時(shí)，講到了如果一個(gè)Servlet或JSP程序能夠讀寫當(dāng)前計(jì)算機(jī)上的任意目錄的話，那么采用Tomcat對(duì)外出租虛擬主機(jī)時(shí)，就會(huì)出現(xiàn)安全問(wèn)題，因?yàn)閯e人上傳的Servlet/JSP程序可以瀏覽服務(wù)器上的所有目錄和修改服務(wù)器上的文件。我安排學(xué)員們自己做做這個(gè)實(shí)驗(yàn)看看，沒(méi)想到，第二天上課后不久，我的計(jì)算上就彈出了“計(jì)算機(jī)即將被關(guān)閉”的通知消息窗口，一些同學(xué)隨之開(kāi)始哈哈大笑，我知道被他們黑了，便問(wèn)了整個(gè)被黑的過(guò)程。

? 原來(lái)，一些同學(xué)昨晚被馮偉立（大二輟學(xué)）給黑了，今天反過(guò)來(lái)拿我的計(jì)算機(jī)開(kāi)練！
? 原理如下：使用tomcat自帶的管理程序（Manager）可以遠(yuǎn)程管理Tomcat服務(wù)器上的所有WEB應(yīng)用程序，包括創(chuàng)建和發(fā)布新的WEB應(yīng)用程序。我在講解Tomcat的Manager程序時(shí)，講解了如何配置tomcat的安全帳戶，馮偉立記住了我課堂演示時(shí)的tomcat管理帳號(hào)（我當(dāng)時(shí)也真沒(méi)想到這個(gè)管理帳號(hào)成了安全后門），他通過(guò)這個(gè)管理帳號(hào)就可將他的WEB應(yīng)用程序部署到我的Tomcat服務(wù)器中。我以前也給學(xué)員們交過(guò)一些安全方面的知識(shí)，并提醒學(xué)員們時(shí)刻保持注意，當(dāng)我昨天提醒大家Servlet程序可以讀寫當(dāng)前計(jì)算機(jī)上的任意目錄是個(gè)安全問(wèn)題時(shí)，馮偉立便想到了通過(guò)Servlet來(lái)啟動(dòng)Windows的一個(gè)進(jìn)程試試，當(dāng)他利用晚上自習(xí)的時(shí)間嘗試成功后，就拿幾個(gè)同學(xué)的計(jì)算機(jī)試了試身手，因?yàn)榇蠹叶际褂胻omcat默認(rèn)的管理帳號(hào)，所以，很容易進(jìn)入。當(dāng)同學(xué)們搞清楚怎么回事后，等我今天上課時(shí)，就給我開(kāi)了開(kāi)玩笑，他們讓一個(gè)Servlet執(zhí)行“shutdown -t 60”命令進(jìn)行延時(shí)關(guān)機(jī)，接著又讓另一個(gè)Servlet執(zhí)行“shutdown -a”命令取消關(guān)機(jī)，把我作弄了一把。
? 雖然計(jì)算機(jī)被黑了，但是我沒(méi)有生氣，反而有點(diǎn)高興！為啥？我為有這么優(yōu)秀的學(xué)員高興啊，他們聰明、愛(ài)思考、能吃苦，以后一定會(huì)有出息的。呵呵，每次一想起我這批學(xué)員，我內(nèi)心總是忍不住泛起一陣喜悅之情。得天下之英才而育之，是人生一大幸事，我雖沒(méi)有育天下英才的才華，天下英才也不會(huì)為我而來(lái)，但就目前培訓(xùn)班的學(xué)員，我教他們的感覺(jué)真的很爽、很舒服，我們教授的東西，他們基本上都能很快能學(xué)會(huì)，不僅如此，他們還能在我們講解內(nèi)容的基礎(chǔ)上做出一些讓我很受啟發(fā)的研究。這么多優(yōu)秀的學(xué)員聚在一起，他們相互之間就能學(xué)到不少知識(shí)，置身于這樣的環(huán)境，受到這些優(yōu)秀學(xué)員的影響，基礎(chǔ)稍差的學(xué)員受益更是非淺。
?

如何通過(guò)tomcat入侵遠(yuǎn)程計(jì)算機(jī)系統(tǒng)