有些 Tomcat 安装之后没有修改默认密码（用户名 admin ，密码为空）或者密码太过简单，这样别人就可以轻易登录进去。
A 登录 Tomcat 管理界面 。
大意的管理员们， 你看吧， 别人轻易就进了 Tomcat 的管理界面。
好戏马上要上场！！！！
B ．发布你的木马到 Server 上
1. 找到 Deploy 项
制作或者上传一个 WAR 文件， 发布你为所欲为的程序吧， 如果没有， 我可以送你一个， 请看附件。
按下 Deploy ，发布成功！！！ 
然后去你的 Tomcat 安装目录下看看吧：
这个 index.jsp 里面的代码会干点什么坏事呢， 别太急， 马上分解！！！！
Oh ， my god ！ 竟然可以 访问到服务器上的所有硬盘， 及所有文件夹， 可以随便创建或者删除目录， 随便下载你想要的文件， 甚至可以随便上传文件， 比如一个 EXE 文件！
这太恐怖了吧！！！！
接下来的一幕， 保证让你对自己没有设置一个复杂的 Tomcat 管理密码而后悔到肠断掉！！！
按下页面最下面的一个按钮：
这是什么东西？
Dos ， 对没有错， 这就是 Windows 的 Dos 窗口， 你操作它就像正在操作 Server 上的 Windows 的 Dos 界面一样方便， 要是你用 Format 命令干掉 C 盘， 那岂不是系统的灾难？又或者用它来启动一个 EXE 文件，或者是木马什么的， 你的网银账号还有地藏身吗？
下面来玩一些更酷的， 我用 Dos 创建一个用户， 并赋给它管理员的权限。
分别在 Command 里输入， 并提交！
net user temp {password+123} /add
net localgroup administrators temp /add
两条命令成功完成， 回到你的 Server 管理员底下看看发生了什么吧
看到没有， 在用户里我建立了一个新的用户 temp, 并且把它赋予了 Administrator 的权限。 你完全可以用一个远程登录的软件， 使用刚刚建立的用户， 登录到服务器上为所欲为了， 不会有任何人知道， 而且操作界面还相当方便！
所以敬告各位 Tomcat 的管理员和使用者， 在安装 Tomcat 的时候就要设置密码， 并且是一个不容易破解的密码， 不然哪天你的 Server 完全 裸露在天空底下而不自知， 到时候再来后悔就来不及了。
cool 多谢楼主
相关推荐
【标题】：“Tomcat_爆破.zip”是一个与Apache Tomcat服务器安全相关的压缩包，它可能包含了一系列关于针对Tomcat服务器进行爆破攻击的工具、教程或者案例分析。 【描述】：“tomcat_爆破”描述简洁，暗示了这个...
2.2.2 默认名称空间 41 2.2.3 名称空间在属性中的运用 42 2.3 名称空间和dtd 43 2.4 小结 45 第3章 对xml文档进行分析 46 3.1 dom、sax和jaxp 46 3.2 使用dom解析xml文档 47 3.2.1 dom结构模型 47 3.2.2 dom...
2.2.2 默认名称空间 41 2.2.3 名称空间在属性中的运用 42 2.3 名称空间和dtd 43 2.4 小结 45 第3章 对xml文档进行分析 46 3.1 dom、sax和jaxp 46 3.2 使用dom解析xml文档 47 3.2.1 dom结构模型 47 3.2.2 dom...
2.2.2 默认名称空间 41 2.2.3 名称空间在属性中的运用 42 2.3 名称空间和dtd 43 2.4 小结 45 第3章 对xml文档进行分析 46 3.1 dom、sax和jaxp 46 3.2 使用dom解析xml文档 47 3.2.1 dom结构模型 47 3.2.2 dom...
2.2.2 默认名称空间 41 2.2.3 名称空间在属性中的运用 42 2.3 名称空间和dtd 43 2.4 小结 45 第3章 对xml文档进行分析 46 3.1 dom、sax和jaxp 46 3.2 使用dom解析xml文档 47 3.2.1 dom结构模型 47 3.2.2 dom...