漏洞介绍

• CVE-2025-24813 Apache Tomcat 远程代码执行漏洞概念验证
• 利用 Apache Tomcat 中的远程代码执行 (RCE) 漏洞 CVE-2025-24813 的概念验证 (PoC)。该漏洞允许攻击者向服务器上传恶意序列化有效载荷，并在满足特定条件时通过反序列化执行任意代码。

使用教程

• 成功利用的前提条件

要使此概念验证成功利用漏洞，必须满足以下条件：

• Apache Tomcat 版本：目标必须运行存在漏洞的 Apache Tomcat 版本。
• 可写目录：服务器必须允许 PUT 请求
• 反序列化触发器：服务器必须处理上传的会话文件（例如，通过 GET 请求到/index.jsp），并触发有效负载的反序列化。
• Java 环境：攻击者的机器必须安装 Java 才能生成有效载荷ysoserial或编译基于 Java 的有效载荷。
• ysoserial（可选）：如果使用ysoserial有效负载类型，则ysoserial.jar文件必须在本地可用。

使用

• 帮助: python CVE-2025-24813.py
• python CVE-2025-24813.py [目标url] [其他参数]
• python CVE-025-24813.py [http://localhost:8081(或者https://example.com)这种类型]

参数对照表

• 脚本命令行可选参数对照表
• 参数名：–command
• 默认值：calc.exe
• 作用说明：指定漏洞利用时要执行的系统命令

• 参数名：–ysoserial
• 默认值：ysoserial.jar
• 作用说明：指定 ysoserial.jar 文件的路径，该文件用于生成 Java 反序列化恶意 payload

• 参数名：–gadget
• 默认值：CommonsCollections6
• 作用说明：指定 ysoserial 工具要使用的 Java 反序列化利用链（Gadget Chain）

• 参数名：–payload_type
• 默认值：ysoserial
• 可选值：ysoserial、java
• 作用说明：指定生成的恶意 payload 类型，仅支持指定的两个可选值

• 参数名：–no-ssl-verify
• 默认值：True（开启 SSL 证书校验）
• 特性：开关型参数，无需传值
• 作用说明：命令行添加该参数则禁用 SSL 证书校验，不添加则默认开启校验，适配 HTTPS 协议的目标
• 隐含参数名：–target
• 说明：代码中未显式定义但实际存在（check_target 入参包含 args.target），为核心必传 / 可选参数，用于 指定漏洞检测 / 利用的目标 IP / 域名 / 地址