Tại sao Apache Tomcat xử lý các dấu gạch chéo được mã hóa (% 2F) làm dấu tách đường?

Question

Apache Tomcat (ít nhất là trước Tomcat 6 ^{xem chú thích}) xử lý dấu gạch chéo được mã hóa phần trăm (% 2F) trong đường dẫn URI giống như dấu gạch chéo thông thường (tức là dấu tách đường dẫn).

Vì vậy, ví dụ: trang servlets ví dụ về Tomcat có thể được truy cập tại

• http://localhost:8080/examples/servlets/ và tại
• http://localhost:8080/examples%2Fservlets/

này không có ý nghĩa đối với tôi. Toàn bộ điểm mã hóa phần trăm ký tự dành riêng như "/" là để tránh nó được coi là ký tự dành riêng (trong trường hợp này là dấu tách đường dẫn). Ngoài ra, hành vi này là (một) nguyên nhân của lỗ hổng CVE-2007-0450. Tuy nhiên, tôi cho rằng phải có lý do cho việc này.

• Có bất kỳ lý do tại sao kỹ thuật Tomcat xử lý (ok, dùng để điều trị)% 2F như một dấu phân cách đường dẫn?

• Có một số trường hợp hành vi này hữu ích không?

---

Footnote: Tôi nhận ra rằng hành vi mặc định do CVE-2007-0450 Tomcat đã được thay đổi để từ chối slashes trăm mã hóa trong đường dẫn. Tuy nhiên, nếu kiểm tra này bị vô hiệu hóa (ALLOW_ENCODED_SLASH), hành vi cũ vẫn còn.

Answer 1

Nó liên quan đến thời điểm Tomcat đứng sau proxy ngược httpd. Trong một số trường hợp, URI được mã hóa một phần để xử lý% 2F là cần thiết để hoàn tác mã hóa đó.

Nó tạo ra một số vấn đề bảo mật đã được sửa cố định trong cùng một thời điểm CVE-2007-0450 đã được sửa. Đối với nền, hãy xem các tùy chọn ForwardURIxxx trong tài liệu mod_jk: http://tomcat.apache.org/connectors-doc/reference/apache.html Điều đó bao gồm một vài trường hợp bạn vẫn có thể muốn tính năng này (nhưng vì các vấn đề bảo mật có thể xảy ra mà tôi tránh nó nếu có thể).

Hành vi mặc định hiện là httpd để chuyển URI sang Tomcat không thay đổi và cho Tomcat xử lý các ký tự được mã hóa chính xác như vậy.