Jetty路径遍历漏洞全解析从RFC 3986规范到实战绕过技巧在Java Web开发领域Jetty作为轻量级高性能的Servlet容器和HTTP服务器凭借其模块化设计和嵌入式特性广受开发者青睐。然而2021年曝光的CVE-2021-28164和CVE-2021-34429漏洞却揭示了其在URI规范化处理中的深层安全隐患。本文将带您深入剖析漏洞背后的RFC规范原理并通过三种独特绕过手法还原攻击全貌。1. 漏洞背景与RFC 3986规范解读RFC 3986作为统一资源标识符(URI)的通用语法标准其第5.2.4节明确定义了点段(dot segments)的处理规则。所谓点段特指路径中的.(当前目录)和..(父目录)符号规范要求这些符号必须在解析过程中被移除仅保留其代表的层次关系。Jetty 9.4.37为实现RFC合规性引入新的URI规范化逻辑时开发者做出了一个关键假设URI中的路径分隔符(/)必须显式存在才能进行路径遍历检测。这个看似合理的假设却埋下了严重的安全隐患。关键点RFC规范要求URI解析器必须处理以下形式的路径/a/b/./→/a/b//a/b/../→/a//%2e/→/./→/实际测试表明当访问http://vuln-server/%2e/WEB-INF/web.xml时Jetty首先对%2e进行URL解码得到/.规范化逻辑错误地保留了该路径最终成功访问到受保护的WEB-INF目录2. 漏洞利用的三重奏绕过手法详解2.1 Unicode编码绕过%u002eUnicode编码提供了一种精妙的绕过方式。%u002e是.字符的Unicode表示这种编码形式在Jetty的早期处理阶段会被特殊对待GET /%u002e/WEB-INF/web.xml HTTP/1.1 Host: vuln-server:8080处理流程对比处理阶段正常请求恶意请求初始URI/WEB-INF/web.xml/%u002e/WEB-INF/web.xmlURL解码-/.//WEB-INF/web.xml规范化阻断访问错误保留路径结果返回403/404返回200 OK2.2 空字节截断.%00空字节(%00)在多种编程语言中具有特殊含义常被用作字符串终止符。Jetty在处理包含空字节的路径时会出现解析歧义curl -v http://vuln-server/.%00/WEB-INF/web.xml技术细节空字节导致规范化过程提前终止安全检查逻辑被部分绕过文件系统API处理时忽略空字节后的内容2.3 双重编码技巧%252e通过二次编码%字符本身(%25)可以构造更隐蔽的攻击向量原始. 一次编码%2e 二次编码%252e这种手法能有效规避某些WAF设备的检测因为多数安全设备只进行单层URL解码。3. 漏洞复现环境搭建使用Docker快速搭建漏洞测试环境FROM jetty:9.4.40 COPY webapp /var/lib/jetty/webapps/ROOT EXPOSE 8080关键配置项jetty.httpConfig.uriComplianceRFC3986jetty.servlet.checkOtherSessionsfalse启动命令docker build -t jetty-vuln . docker run -p 8080:8080 jetty-vuln4. 防御方案与最佳实践4.1 官方修复方案对比版本修复措施有效性9.4.39增强UriCompliance检查部分有效9.4.43引入DenyUrlEncodedSlashRule完全修复10.0.0重构URI解析引擎根治问题4.2 临时缓解措施对于无法立即升级的系统建议配置Configure classorg.eclipse.jetty.server.HttpConfiguration Call nameaddCustomizer Arg New classorg.eclipse.jetty.server.ForwardedRequestCustomizer/ /Arg /Call Set nameuriComplianceLEGACY/Set /Configure4.3 深度防御策略输入验证public static boolean isSafePath(String path) { return !path.contains(..) !path.contains(%2e) !path.contains(%252e); }权限控制矩阵资源类型默认权限建议权限WEB-INF禁止访问400 Bad RequestMETA-INF禁止访问403 ForbiddenJSP文件仅执行拒绝直接访问WAF规则示例location ~* /(WEB-INF|META-INF)/ { deny all; return 403; } location ~* (%u002e|%2e|%252e) { deny all; return 400; }5. 漏洞挖掘方法论延伸从Jetty漏洞中可以提炼出通用的安全审计方法规范对比测试对比RFC标准与实现代码的差异点特别关注边界条件处理编码变异测试测试所有已知的编码形式UTF-8、URL编码、Unicode等尝试混合使用多种编码方式解析器一致性检查def test_parser_consistency(parser): cases [/a/b/../, /a/b/%2e%2e/, /a/b/..%00/] for case in cases: if parser(case) ! /a/: raise VulnerabilityFound(case)在实战中发现许多中间件漏洞都源于规范实现的不完整性。安全研究人员应当培养规范驱动测试的思维模式从标准文档中寻找可能被误解或忽略的细节要求。