Apache Tomcat

区别

Apache 是 web 服务器，Tomcat 是应用（java）服务器，它只是一个 servlet 容器，是 Apache 的扩展。Apache 和 Tomcat 都可以做为独立的 web 服务器来运行，但是 Apache 不能解释 java 程序（jsp,servlet）。

两者都是一种容器，只不过发布的东西不同：Apache 是 html 容器，功能像 IIS 一样；Tomcat 是 jsp/servlet 容器，用于发布 jsp 及 java 的，类似的有 IBM 的 websphere、BEA 的 Weblogic，sun 的 JRun 等等。

打个比方：Apache 是一辆卡车，上面可以装一些东西如 html 等。但是不能装水，要装水必须要有容器（桶），Tomcat 就是一个桶（装像 Java 这样的水），而这个桶也可以不放在卡车上。

Apache 是世界使用排名第一的 Web 服务器。它可以运行在几乎所有广泛使用的计算机平台上。

Apache 源于 NCSAhttpd 服务器，经过多次修改，成为世界上最流行的 Web 服务器软件之一。Apache 取自“a patchy server”的读音，意思是充满补丁的服务器，因为它是自由软件，所以不断有人来为它开发新的功能、新的特性、修改原来的缺陷。Apache 的特点是简单、速度快、性能稳定，并可做代理服务器来使用。Apache 对 Linux 的支持相当完美。

产品

Apache 有多种产品，可以支持 SSL 技术，支持多个虚拟主机。Apache 是以进程为基础的结构，进程要比线程消耗更多的系统开销，不太适合于多处理器环境，因此，在一个 Apache Web 站点扩容时，通常是增加服务器或扩充群集节点而不是增加处理器。Apache 仍然是世界上用的最多的 Web 服务器，市场占有率达 60% 左右。世界上很多著名的 Yahoo!、W3 Consortium、Financial Times 等都是 Apache 的产物，它的成功之处主要在于它的源代码开放、有一支开放的开发队伍、支持跨平台的应用（可以运行在几乎所有的 Unix、Windows、Linux 系统平台上）以及它的可移植性等方面。

Apache 的诞生极富有戏剧性。当 NCSA WWW 服务器项目停顿后，那些使用 NCSA WWW 服务器的人们开始交换他们用于该服务器的补丁程序，他们也很快认识到成立管理这些补丁程序的论坛是必要的。就这样，诞生了 Apache Group，后来这个团体在 NCSA 的基础上创建了 Apache。如果你准备选择 Web 服务器，毫无疑问 Apache 是你的最佳选择。

测评

Tomcat 是一个开放源代码、运行 servlet 和 JSP Web 应用软件的基于 Java 的 Web 应用软件容器。Tomcat Server 是根据 servlet 和 JSP 规范进行执行的，因此我们就可以说 Tomcat Server 也实行了 Apache-Jakarta 规范且比绝大多数商业应用软件服务器要好。

Tomcat 是 Java Servlet 2.2 和 JavaServer Pages 1.1 技术的标准实现，是基于 Apache 许可证下开发的自由软件。Tomcat 是完全重写的 Servlet API 2.2 和 JSP 1.1 兼容的 Servlet/JSP 容器。Tomcat 使用了 JServ 的一些代码，特别是 Apache 服务适配器。随着 Catalina Servlet 引擎的出现，Tomcat 第四版号的性能得到提升，使得它成为一个值得考虑的 Servlet/JSP 容器，因此许多 WEB 服务器都是采用 Tomcat。

**JSP=Java Server Pages (Java 服务器网页)

**ASP=Active Server Pages (活动服务器网页)

**CGI=Common Gateway Interface (通用网关接口)

**J2EE=Java 2 Platform, Enterprise Edition (Java2 平台，企业版)

**XML=eXtensible Markup Language (扩展标记语言)

**IIS=Internet Information Server (互联网信息服务器)

漏洞

受影响的版本：

• Tomcat 7.0.0 ~ 7.0.20 的所有版本
• Tomcat 6.0.0 ~ 6.0.33 的所有版本
• Tomcat 5.5.0 ~ 5.5.33 的所有版本
• 早期的已不再提供支持的版本也可能受影响

Apache Tomcat 支持 AJP 协议，用来通过反向代理到 Tomcat 的请求和相关的数据，AJP 协议的作用是，当一个请求包含请求主体时，一个未经允许的、包含请求主体首部分（或可能所有的）的 AJP 消息被发送到 Tomcat。在某些情况下，Tomcat 会把这个消息当作一个新的请求来处理，而不会当作请求主体。这可能导致攻击者完全控制 AJP 消息，允许攻击者：

• 插入已验证用户的名字
• 插入任何客户端的 IP 地址（可能绕过任何客户端 IP 地址的过滤）
• 导致用户之间的响应混乱

下面的 AJP 连接器实现不会受到影响：

• org.apache.jk.server.JkCoyoteHandler (5.5.x - default, 6.0.x - default)

下面的 AJP 连接器实现会受到影响：

• org.apache.coyote.ajp.AjpProtocol (6.0.x, 7.0.x - default)
• org.apache.coyote.ajp.AjpNioProtocol (7.0.x)
• org.apache.coyote.ajp.AjpAprProtocol (5.5.x, 6.0.x, 7.0.x)

解决措施：

• 升级 Apache Tomcat 到已经修复此问题的版本。

配置反向代理和 Tomcat AJP 连接器，使用 requiredSecret 属性。

使用 org.apache.jk.server.JkCoyoteHandler AJP 连接器 (不适用于 Tomcat 7.0.x)