Apache Tomcat是一个开源的、轻量级的应用服务器，一般用于做Web服务。这些tomcat漏洞一般升级到高版本即可修复，比如运行的是tomcat8版本，可以打开官网见原文链接，查看到相应的漏洞编号，可以看到CVE-2023-46589升级到8.5.96版本修复，CVE-2024-23672需要升级到8.5.99进行修复。
Tomcat安全绕过漏洞，攻击者可利用该漏洞绕过安全限制，执行未经授权的操作。9.0.0.M1版本至9.0.0.M20版本，8.5.0版本至8.5.14版本，8.0.0.RC1版本至8.0.43版本，7.0.0版本至7.0.77版本。
开源WEB容器–Apache+Tomcat老版本很容易受到远程代码执行的攻击。Mark Thomas，一位长期致力于Apache+Tomcat的工作者称“在某种情况下，用户可以上传恶意JSP文件到Tomcat服务器上运行，然后执行命令。JSP的后门可以用来在服务器上任意执行命令。
当Web应用程序未对用户输入的数据进行足够的安全处理，而直接拼接SQL语句执行时，攻击者可以精心构造参数值，使服务器执行非预期的SQL语句并返回结果，造成数据库信息泄露。利用SQL注入漏洞，攻击者可获取数据库的增、删、改、查权限，甚至执行系统命令，上传后门文件等。
Tomcat 实现了几个 Java EE 规范，包括 Java Servlet、Java Server Pages、Java Expression Language 和 Java WebSocket 等。
而在现在的开源的学习笔记中，十分详细的去解析Tomcat的笔记少之又少，但是就在昨天从字节跳动的大厂流传出了一份十分详细的Tomcat的学习笔记，笔者一直是一颗开源的心，下面我把这份笔记开源出来，共勉!
#一、前言Struts2 是较早出现实现 MVC 思想的 java 框架。struts2 在 JSP 文件中使用 ognl 表达式来取出值栈中的数据。struts 标签与 ognl 表达式的关系类似于 JSTL 标签与 el 表达式的关系。
手动利用，首先我们先正常用ftp服务连接目标靶机，然后输入用户名root:)，随便输入一个密码。iptables -A INPUT -m state --state NEW -m tcp -p tcp --dport 6200 -j DROP。
java程序员亲切地称他为tom猫,看到这只猫可以说明1 服务器部署成功了 ，2 网络是联通的。到底这只猫是什么来头呢?tomcat是Apache基金会下的一个开源的web服务器,大名鼎鼎的Apache不光开发了许许多多的开源项目,同时他还是目前美帝先进的直升机的型号.
