本片文章是对tomcat 400 错误造成信息泄露，如何进行修复进行描述，希望可以对非安全专业的互联网工作人员提供一点帮助，本片文章内容确实也是笔者最近遇到的一些问题。
 
漏洞描述
 
tomcat 发生400 错误，暴露出中间件版本、以及程序抛出的一些异常。
 
异常内容为
 
    org.apache.coyote.http11.Http11InputBuffer.parseRequestLine(Http11InputBuffer.java:503)
	org.apache.coyote.http11.Http11Processor.service(Http11Processor.java:502)
	org.apache.coyote.AbstractProcessorLight.process(AbstractProcessorLight.java:65)
	org.apache.coyote.AbstractProtocol$ConnectionHandler.process(AbstractProtocol.java:818)
	org.apache.tomcat.util.net.NioEndpoint$SocketProcessor.doRun(NioEndpoint.java:1627)
	org.apache.tomcat.util.net.SocketProcessorBase.run(SocketProcessorBase.java:49)
	java.util.concurrent.ThreadPoolExecutor.runWorker(ThreadPoolExecutor.java:1142)
	java.util.concurrent.ThreadPoolExecutor$Worker.run(ThreadPoolExecutor.java:617)
	org.apache.tomcat.util.threads.TaskThread$WrappingRunnable.run(TaskThread.java:61)
	java.lang.Thread.run(Thread.java:745)
 
和图片有点不一样，因为这个是我从网上粘贴写来的，不过出现异常的一样的，
 
虽然实际危害也就那么回事，但是这个毕竟是项目上遇到的问题，打码还是最基本的职业道德。
 
 
原因说明
 
其中图片中这些异常都不是重点，重点是
 
在请求目标中无法找到有效字符，有效字符在RFC 7203和 RFC 3986 中定义
 
这个报错的英文版是
 
Invalid character found in the request target. The valid characters are defined in RFC 7230 and RFC 3986
 
就是说我们传递了无效字符，tomcat 无法处理导致报错，这个问题在高版本tomcat 中均存在，从7.0.88开始，大多数tomcat版本都会出现此问题。
 
截图中测试者直接使用burp Suit 传递了一个 XSS payload去测试 autoCode 参数，由于是burp 直接输入的payload, “<”、">",等特殊字符未进行url 编码，tomcat 处理不了了，而tomcat没有报500的服务器端错误，而是报的400错误（请求报文存在语法错误），这是因为，这个错误被认为是客户端的错误（tomcat 是这样认为的）。
 
修复方法
 
Tomcat增强了其安全性，并且不再允许在查询字符串中使用原始方括号。在请求中，我们有{，} 或其他符号（"<",">","[","}"等），因此服务器未处理该请求。
 
在tomcat conf路径下的server.xml文件里面的 Connector 标签下添加属性 relaxedQueryChars：
 


    <Connector port="8080" protocol="HTTP/1.1"
                   connectionTimeout="20000"
                   redirectPort="8443"
                   maxHttpHeaderSize ="10240"
                   relaxedQueryChars="{,}"/>


 
一般直接添加这个
 
<Connector port="8084" protocol="HTTP/1.1" relaxedPathChars="[]|" relaxedQueryChars="[]|{}^&#x5c;&#x60;&quot;&lt;&gt;" useBodyEncodingForURI="true" connectionTimeout="20000" redirectPort="8443" URIEncoding="UTF-8"/>
 
多符号可以用"，" 隔开,上面那些奇怪的编码是html 实体编码，内容是<、>等符号，直接输入这些符号有些会导致tomcat报错，无法启动服务的，这也是跟实施人员沟通过后才了解到的。
 
至于中间件版本好的隐藏，大家去百度的，懒得写了。。。。

Invalid character found in the request target. The valid characters are defined in RFC 7230 and RFC 3986




新版本的tomcat对url的参数做了比较规范的限制，必须按照RFC 7230 and RFC 3986规范，对于非保留字字符，如果不做转义处理，一律都会报The valid characters are defined in RFC 7230 and RFC 3986 错误。


org.apache.tomcat.util.http.parser.HttpParser#IS_NOT_REQUEST_TARGET[]中定义了一堆 not request target：



参考解决方法：https://stackoverflow.com/questions/41053653/tomcat-8-is-not-able-to-handle-get-request-with-in-query-parameters


配置tomcat的catalina.properties
添加或者修改：
tomcat.util.http.parser.HttpParser.requestTargetAllow=|{}

或者：对参数进行编码！


Tomcat 配置项：https://tomcat.apache.org/tomcat-8.5-doc/config/systemprops.html





%2C : ,            %5C : \

 
一、背景
 
       以往久远项目经过安全扫描后，发现tomcat版本问题有很多安全问题，故同大版本升级了tomcat小版本版本。但是升上去的tomcat，发现有些页面出现400错误。

 


 
二、原因

 
      经过排查发现tomcat在升级的时候，增加了新的特性性
 
1） URL参数包含大括号{}报错
 
      由于Tomcat的新版本中增加了一个新特性，就是严格按照 RFC 3986规范进行访问解析，而 RFC 3986规范定义了Url中只允许包含英文字母（a-zA-Z）、数字（0-9）、-_.~4个特殊字符以及所有保留字符(RFC3986中指定了以下字符为保留字符：! * ’ ( ) ; : @ & = + $ , / ? # [ ])。
 
2） URL参数包含#报错
 
      根据rfc规范，url中不允许有 |，{，}等特殊字符，但在实际生产中还是有些url有可能携带有这些字符，特别是|还是较为常见的。在对url字符的检查都变严格了，如果出现这类字符，tomcat将直接返回400状态码
 

 
三、解决方法

 
      按正规编写前端代码，涉及到中文，特殊字符，且需要放到url上面的，请使用encodeURIComponent或encodeURI对URL进行编码。

有时我们使用SSM框架时，会出现400的错误和这样的The server cannot or will not process the request due to something that is perceived to be a client error (e.g., malformed request syntax, invalid request message framing, or deceptive request routing).页面显示，这是有可能我们创建对象POJO时所使用的类型不对，例如日期的类型是java.util.Date，而不是java.util.sql.
 
还有就是从页面传参进数据库时，如果有日期的参数，要对它先进行日期的转换，否则也会报400的错误，有个转变函数是：
 
//此方法用于日期的转换，如果未加，当页面日期格式转换错误，将报400错误，实际是因为此方法
	public void initBinder(WebDataBinder binder) {
		DateFormat dateFormat = new SimpleDateFormat("yyyy-MM-dd");
		dateFormat.setLenient(true);
		binder.registerCustomEditor(Date.class, new CustomDateEditor(dateFormat, true));
	}