CVE-2021-21315 NodeJs命令注入漏洞复现

最新推荐文章于 2024-08-19 15:53:30 发布
最新推荐文章于 2024-08-19 15:53:30 发布
阅读量1.2k 收藏 1
点赞数
分类专栏： 黑客 网络安全 漏洞复现 文章标签： 安全漏洞 网络安全 渗透测试
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/m0_56642842/article/details/119634598
版权
本文介绍了Node.js中的CVE-2021-21315命令注入漏洞，详细说明了漏洞概述、影响版本以及环境搭建过程。通过复现漏洞，展示了如何利用未过滤的参数执行系统命令。修复建议包括升级systeminformation模块到5.3.1或更高版本，或限制相关函数的参数类型。
摘要由CSDN通过智能技术生成

0x00 简介

Node.js是一个基于Chrome V8引擎的JavaScript运行环境，用于方便的搭建响应速度快、易于拓展的网络应用。Node使用Module模块划分不同的功能，每一个模块都包含非常丰富的函数，如http就包含了和http相关的很多函数，帮助开发者对http、tcp/udp等进行操作或创建相关服务器。

0x01 漏洞概述

Node.js-systeminformation是用于获取各种系统信息的Node.js模块,在存在命令注入漏洞的版本中，攻击者可以通过未过滤的参数中注入payload执行系统命令。

0x02 影响版本

Systeminformation <  5.3.1

0x03 环境搭建

  1. 本次测试环境使用的是kali 2020.4版本，首先下载受影响的Node.js,这里使用的是v12.18.4。

    wget https://nodejs.org/dist/v12.18.4/node-v12.18.4-linux-x64.tar.xz

  2. 解压

    tar -xvf node-v12.18.
最低0.47元/天 解锁文章
m0_56642842
关注
专栏目录
CVE-2021-21315漏洞复现-kali2020.4
weixin_43867542的博客
07-19 1367
漏洞名称：systeminformation 操作系统命令注入漏洞 等级危害：高危 CVSS评分：7.8 漏洞类型：操作系统命令注入 漏洞概述 systeminformation中存在操作系统命令注入漏洞，该漏洞源于外部输入数据构造操作系统可执行命令过程中，网络系统或产品未正确过滤其中的特殊字符、命令等。攻击者可利用该漏洞执行非法操作系统命令。 受影响版本 systeminformation < 5.3.1 环境概述 kali2020.4 漏洞复现 1.准备工作 ...
第63天：服务攻防-框架安全&CVE 复现&Django&Flask&Node.JS&JQuery
weixin_71529930的博客
04-18 1162
在GET参数中构造detail_a'b=123提交，detial是模型Collection中的JSONFiled,并可以看到报错，单引号注入成功（在Django中，JSONFiled是一种特殊的数据库字段类型，存储JSON格式的数据，可以与PostgreSQL数据库一起使用，模型Collection中,detail字段是JSONFile类型的字段，用于存储Collection对象的详细信息，将这些信息存放在JSONFile中的detail字段中字段。kali安装node命令。命令执行地址请求地址。
CVE-2021-21315漏洞复现
最新发布
weixin_57379923的博客
08-19 498
靶机：CentOS7 IP:192.168.100.40。攻击机：kali IP:192.168.100.60。下载node.js环境。
node.js 命令执行 （CVE-2021-21315）复现[VULFOCUS]
m0_37638874的博客
09-06 2138
Node.js-systeminformation是用于获取各种系统信息的Node.JS模块，它包含多种轻量级功能，可以检索详细的硬件和系统相关信息 npm团队发布安全公告，Node.js库中的systeminformation软件包中存在一个命令注入漏洞（CVE-2021-21315），其CVSSv3评分为7.8。攻击者可以通过在未经过滤的参数中注入Payload来执行系统命令。里注册申请一个账号，得到一个申请的网址。
CVE-2021-21315-PoC：CVE 2021-21315 PoC
03-03
CVE-2021-21315系统信息 这是的概念证明，它影响到的系统信息库（npm程序包“ systeminformation”）。 “请务必检查或清理传递给si.inetLatency（），si.inetChecksite（），si.services（），si.processLoad（）的服务参数...仅允许使用字符串，拒绝任何数组。字符串清理如预期般运作。” 因为没有很好地解释漏洞（我认为），所以我决定根据系统信息的漏洞版本编写小型应用程序。 PoC包含： 使用明确的易受攻击的系统信息测试Node.js中制作的应用 简单测试有效负载即可在受影响的计算机上创建.txt文件 重现步骤： 在Linux服务器环境上运行应用程序 向site.com/api/getServices?name=nginx发出GET请求（nginx只是示例） 现在尝试发送这样的请求：yoursite.co
CVE-2020-16898: Windows操作系统 TCP-IP远程执行代码漏洞
weixin_38896449的博客
12-03 706
这里写目录标题1.漏洞描述2.影响版本3.漏洞排查4.漏洞利用5.漏洞修复 1.漏洞描述 10月，微软官方发布安全公告，修复了Windows操作系统内的TCP/IP远程代码执行漏洞（CVE-2020-16898）。攻击者可通过发送特制的ICMPv6 Router Advertisement（路由通告）数据包至远程Windows主机，即可在目标主机上执行任意代码。 漏洞风险：严重 2.影响版本 Windows 10 version 1709/1803/1809/1903/1909/2004 Windows S
Node.js命令注入漏洞(CVE-2021-21315)复现
玄道的网安博客
04-09 2939
简介 Node.js-systeminformation是用于获取各种系统信息的Node.JS模块，它包含多种轻量级功能，可以检索详细的硬件和系统相关信息。 影响版本 Systeminformation < 5.3.1 环境搭建 这里用node10.16.0进行测试 源码下载 git clone https://github.com/ForbiddenProgrammer/CVE-2021-21315-PoC.git nodejs开启http...
CVE-2021-21315 Linux sudoNode.js命令注入
weixin_47179815的博客
07-15 1598
Node.js是一个基于ChromeV8引擎的JavaScript运行环境，用于方便的搭建响应速度快、易于拓展的网络应用，它包含多种轻量级功能，可以检索详细的硬件和系统相关信息。Node使用Module模块划分不同的功能，每一个模块都包含非常丰富的函数，如http就包含了和http相关的很多函数，帮助开发者对http、tcp/udp等进行操作或创建相关服务器。...
node.js 命令执行 （CVE-2021-21315）
小小猪的博客
12-30 2148
node.js 命令执行 （CVE-2021-21315） 漏洞简介： Node.js库中的systeminformation软件包中存在一个命令注入漏洞（CVE-2021-21315）攻击者可以通过「systeminformation」中代码注入漏洞的存在意味着攻击者可以通过在组件使用的未初始化参数内小心翼翼地注入有效载荷来执行系统命令。 影响版本： Systeminformation < 5.3.1 环境搭建： 在线环境 地址 漏洞复现： 访问首页 DNSlog申请网址..
CVE-2021-21315v2
05-07
CVE-2021-21315系统信息 这是的概念证明，它影响到的系统信息库（npm程序包“ systeminformation”）。 “请务必检查或清理传递给si.inetLatency（），si.inetChecksite（），si.services（），si.processLoad（）的服务参数...仅允许使用字符串，拒绝任何数组。字符串清理如预期般运作。” 因为它并没有很好地解释漏洞（我认为），所以我决定根据系统信息的易受攻击的版本来编写小型应用程序。 PoC包含： 使用明确的易受攻击的系统信息测试Node.js中制作的应用 简单测试有效负载即可在受影响的计算机上创建.txt文件 重现步骤： 在Linux服务器环境上运行应用程序 向site.com/api/getServices?name=nginx发出GET请求（nginx只是示例） 现在尝试发送这样的请求：yours
春秋云镜 CVE-2021-21315
qq_22002773的博客
08-16 411
春秋云镜 CVE-2021-21315
Node.Js命令执行(CVE-2021-21315)
m0_65150886的博客
02-20 491
Node使用Module模块划分不同的功能，每一个模块都包含非常丰富的函数，如http就包含了和http相关的很多函数，帮助开发者对http、tcp/udp等进行操作或创建相关服务器。Node.js-systeminformation是用于获取各种系统信息的Node.js模块,在Systeminformation < 5.3.1的版本中，存在命令执行漏洞，攻击者可以通过未过滤的参数中注入payload执行系统命令。6.尝试发送这样的请求：http://ip:port/api/getServices?
Node.Js命令执行漏洞（CVE-2021-21315）复现及排查
dayouzi的博客
08-15 1641
Node.js是一个基于Chrome V8引擎的JavaScript运行环境，用于方便的搭建响应速度快、易于拓展的网络应用。Node使用Module模块划分不同的功能，每一个模块都包含非常丰富的函数，如http就包含了和http相关的很多函数，帮助开发者对http、tcp/udp等进行操作或创建相关服务器。Node.js-systeminformation是用于获取各种系统信息的Node.js模块,在存在命令注入漏洞的版本中，攻击者可以通过未过滤的参数中注入payload执行系统命令。
漏洞复现----10、Node.js CVE-2017-14849 任意文件读取
七天
11-11 1348
文章目录一、Node.js与Express1、Node.js2、Express3、影响版本4、环境安装4.1、Node.js 8.5.0安装4.2、Express 4.15.5安装二、漏洞原理三、漏洞复现 一、Node.js与Express 1、Node.js node.js是一个基于V8引擎的Javascript运行环境，它使得 Javascript 可以运行在服务端，直接与操作系统进行交互，与文件控制、网络交互、进程控制等。可以简单的理解为：node.js就是运行在服务端的Javascript。 2
Node.js CVE-2017-14849漏洞复现过程
旺仔Sec&blog
04-20 773
Vulhub 是一个专门用于学习渗透测试和网络安全的虚拟靶场平台，其中包含了大量的漏洞环境和实验场景，供安全从业者进行实践和学习。通过 Vulhub，用户可以模拟真实的漏洞环境，并通过实际操作来理解漏洞原理、利用方法以及相应的防御措施。要使用 Vulhub 靶场，你可以按照以下步骤进行操作：获取 Vulhub：你可以从 Vulhub 的官方网站（https://www.vulhub.org/）上获取 Vulhub 的镜像文件或者源代码，并根据需要进行部署。
Node.js 目录穿越漏洞（CVE-2017-14849）
来日可期的博客
02-02 983
原因是 Node.js 8.5.0 对目录进行normalize操作时出现了逻辑错误，导致向上层跳跃的时候（如../../../../../../etc/passwd），在中间位置增加foo/../（如../../../foo/../../../../etc/passwd），即可使normalize返回/etc/passwd，但实际上正确结果应该是../../../../../../etc/passwd。
评论 1
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值