Tomcat AJP协议包伪造
此安全漏洞已修复，见https://issues.apache.org/bugzilla/show_bug.cgi?id=51698
建议升级Tomcat
?
部署到Tomcat上的应用一般会搭配一个Apache，
从浏览器(或其他User Agent)发送的请求要经过两个协议才能转到Tomcat:
?
请求 => http协议 => Apache => ajp协议 => Tomcat
?
?
从这个处理链来看，ajp协议数据包只能由Apache生成，
用户不能通过浏览器(或其他User Agent)直接发送ajp协议数据包到Tomcat。
?
从Apache发送到Tomcat的ajp协议数据包主要有下面几种类型:
?
?
?
?
??
?
woo: I am hereInvoke HelloWorldExample.doPost method:-------------------------------------------Host: my.evil-site.comRemoteAddr: 1.2.3.4LocalPort: 999woo: I am hereInvoke HelloWorldExample.doPost method:-------------------------------------------Host: my.evil-site.comRemoteAddr: 1.2.3.4LocalPort: 999
