Tomcat Manager 暴露面
manager 与 host-manager 是 Apache Tomcat 自带的管理应用，通过浏览器就能部署、启停、卸载 Web 应用，还能查看服务器状态与内存使用。默认配置要求账号配合特定角色，并可用配置限制来源地址。一旦这组应用对不特定来源可达且账号口令薄弱，攻击者可直接上传应用包取得服务器执行权限，等价于应用部署级失陷。所以检查重点是可达范围、账号策略与访问限制三项，而不是去猜口令。
基本信息
| 默认应用 | manager（应用管理）与 host-manager（虚拟主机管理） |
|---|---|
| 典型路径 | 根路径下的管理应用路径，也常见自定义上下文路径 |
| 权限要求 | 需具备相应管理角色，属应用部署级权限 |
| 加固方向 | 仅管理网可达、统一认证、按台账管理账号并轮换 |
典型使用场景
- 历史部署习惯：早期用面板热部署或重启应用，配置沿用至今
- 运维便利性：开发测试环境开放面板供开发自助发布
- 自定义路径：为隐藏面板改名，但保护策略未同步收紧
- 云主机与容器：镜像内置面板且未改默认配置即对外发布
- 主机管理面：host-manager 暴露后可用于探测与创建虚拟主机
检查步骤
检查步骤
1. 在授权范围内确认默认与自定义路径下管理应用的可达性 # 只做可达性判断
2. 与管理员核对账号台账与角色分配，不进行口令猜测
3. 检查应用与主机配置中的来源限制与访问控制设置
4. 查看是否启用统一认证或反向代理前置认证
5. 输出：可达性结论 + 账号管理现状 + 加固建议暴露形态与风险
| 形态 | 表现 | 风险 |
|---|---|---|
| 默认路径可达 | 默认管理应用路径返回登录页 | 可被口令攻击后热部署应用 |
| 自定义路径可达 | 改名后仍可被探测或由文档泄露 | 与默认路径风险等同，只是隐藏 |
| 仅内网可达 | 管理网或跳板机可达 | 横向移动后可被利用，仍需收紧 |
| 账号权限过大 | 账号同时具备管理与脚本权限 | 失陷后影响面扩大到宿主环境 |
修复视角：管理应用仅在管理网可达，账号从台账发放并按角色最小化，前置统一认证；不需要时直接从应用目录中移除。