yapi 代码执行

最新推荐文章于 2024-09-02 09:34:50 发布
最新推荐文章于 2024-09-02 09:34:50 发布
阅读量1.1k 收藏
点赞数
分类专栏： 漏洞复现 文章标签： 大数据
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/qq_32445755/article/details/125601631
版权
YAPI是一款由去哪儿网开发的接口管理工具，由于默认配置允许外部访问，攻击者可通过注册并利用Mock功能远程执行任意代码。本文复现了漏洞过程，包括注册账号、创建项目、开启Mock脚本等步骤。解决方案包括关闭注册功能、禁用Mock功能，并建议此类平台部署在内网或使用安全访问方式。对于大规模公司，推荐进行二次开发，整合统一认证系统，遵循等保三级认证设计。
摘要由CSDN通过智能技术生成

简介

YAPI是由去哪儿网移动架构组(简称YMFE，一群由FE、iOS和Android工程师共同组成的最具想象力、创造力和影响力的大前端团队)开发的可视化接口管理工具，是一个可本地部署的、打通前后端及QA的接口管理平台。因为大量用户使用 YAPI的默认配置并允许从外部网络访问YApi服务，导致攻击者注册用户后，即可通过 Mock功能远程执行任意代码。请拿到flag，默认在/tmp/目录中。

复现

漏洞复现步骤

注册测试账号：注册登录后，创建一个项目,然后选择设置全局的mock脚本

点击保存开启添加接口，然后再点击预览可以看到接口的mock地址，进行访问，执行whoami命令成功，漏洞存在。

登录后

创建项目

 

添加接口

了解本专栏 订阅专栏 解锁全文 超级会员免费看
qq_1136014935
关注
专栏目录
订阅专栏
Yapi Mock 远程代码执行漏洞
weixin_45694388的博客
07-09 603
跟风一波复现Yapi 漏洞描述： YApi接口管理平台远程代码执行0day漏洞，攻击者可通过平台注册用户添加接口，设置mock脚本从而执行任意代码。鉴于该漏洞目前处于0day漏洞利用状态，强烈建议客户尽快采取缓解措施以避免受此漏洞影响 fofa： Fofa:app="YApi" 漏洞复现： 默认注册功能开启。 注册后创建项目： 添加接口： 创建接口成功： 选择“高级Mock”，“脚本”，开启脚本： 写入poc并保存： const sandbox = this const ObjectConstruc
YAPI Mock远程代码执行漏洞
weixin_51387754的博客
11-08 1065
前言 YAPI接口管理平台是国内某旅行网站的大前端技术中心开源项目，使用mock数据/脚本作为中间交互层，为前端后台开发与测试人员提供更优雅的接口管理服务，该系统被国内较多知名互联网企业使用。 YAPI项目使用mock数据/脚本作为中间交互层，为前端后台开发与测试人员提供更优雅的接口管理服务。其中mock数据通过设定固定数据返回固定内容，对于需要根据用户请求定制化响应内容的情况mock脚本通过写JS脚本的方式处理用户请求参数返回定制化内容，本次漏洞就是发生在mock脚本服务上。由于mock脚本自定义服务未对
YAPI-开源
04-26
YAPI（Y图表应用程序程序员接口，又名另一个程序员接口）是一个用于编写（卡恩）过程网络的C ++库。
Yapi 部署
最新发布
qq_29321057的博客
09-02 1341
YApi 是一款主要用于前后端开发团队协作的 API 管理平台。它可以帮助团队更加高效地进行 API 接口的设计、测试、文档管理和版本控制等工作。：YApi 允许开发者创建、设计 API 接口，并对其进行管理，包括定义数据结构、响应格式等。：一旦 API 被设计好，YApi 可以自动生成相应的文档，减少手动编写文档的工作量，同时保证文档的准确性和时效性。：YApi 支持生成 Mock 服务，可以在后端接口尚未完成的情况下，前端开发人员也能基于模拟的数据进行开发工作。
[Vulfocus解题系列] yapi 代码执行
00勇士王子的博客
07-18 1074
漏洞介绍 名称: yapi 代码执行 描述: API接口管理平台是国内某旅行网站的大前端技术中心开源项目，使用mock数据/脚本作为中间交互层，为前端后台开发与测试人员提供更优雅的接口管理服务，该系统被国内较多知名互联网企业所采用。 YApi 是高效、易用、功能强大的 api 管理平台。但因为大量用户使用 YAPI的默认配置并允许从外部网络访问 YApi服务，导致攻击者注册用户后，即可通过 Mock功能远程执行任意代码。 解题过程 1.打开靶场页面，进入注册页面，随意注册一个用户 2.注册后进入如下页面
YApi远程代码执行
嘟的博客
07-09 942
一、漏洞说明： YApi是由去哪儿网开发开源的可视化平台，YApi 是高效、易用、功能强大的 api 管理平台，旨在为开发、产品、测试人员提供更优雅的接口管理服务。可以帮助开发者轻松创建、发布、维护 API，YApi 还为用户提供了优秀的交互体验，开发人员只需利用平台提供的接口数据写入工具以及简单的点击操作就可以实现接口的管理。 近日，互联网披露了YAPI远程代码执行0day漏洞，该漏洞已在野利用，并正在扩散。攻击者可利用该漏洞实现远程代码执行。建议用户通过临时防护措施缓解该漏洞风险，做好资产自查以及预
漏洞复现之YApi接口管理平台远程代码执行
白帽子九一
05-31 1158
1. 简介 YAPI是由去哪儿网移动架构组(简称YMFE，一群由FE、iOS和Android工程师共同组成的最具想象力、创造力和影响力的大前端团队)开发的可视化接口管理工具，是一个可本地部署的、打通前后端及QA的接口管理平台。YAPI旨在为开发、产品和测试人员提供更优雅的接口管理服务，可以帮助开发者轻松创建、发布和维护不同项目，不同平台的API。有了YAPI，我们可以很方便的测试、管理和维护多个项目的API接口，不像Swagger那样是随应用生和灭的(且线上环境下大多数须关闭)，YAPI是一个独立的服务平台
YApi远程命令执行漏洞分析.pdf
04-22
### YApi远程命令执行漏洞分析 #### 影响版本与概述 本次分析针对的是YApi在版本1.12.0之前存在的一个远程命令执行漏洞。该漏洞允许未经身份验证的远程攻击者利用MongoDB盲注漏洞来获取数据库中的项目令牌（token...
yapi2ts:解析yapi json到打字稿定义和事件代码
04-22
压缩包文件“yapi2ts-main”很可能包含了yapi2ts工具的源码或可执行文件，供用户下载使用。用户需要根据具体的操作系统和开发环境来运行或编译这个项目，以便于在自己的开发流程中集成yapi2ts的功能。 总结来说，...
Yapi代码执行 waf绕过实战记录
2401_83799022的博客
06-12 301
这预示着成功了一大步可以初步绕过waf的检测，之后赶紧访问保存的恶意脚本进行反弹 shell 结果 vps 半天没消息，就在怀疑该主机是否不出网的时候被叫吃中午饭了，暂放一阶段。当时，按照复线文章一步一步操作，直到保存脚本时却遇到了问题。的命令和参数是分开的，参考官方文档的参数格式要求再一次修改命令执行脚本，使用nc反弹结果等了个寂寞，后面改成了python反弹命令，保存后访问接口，结果啪的一下很突然，成功收到了反弹连接。查看了浏览器的网络请求状态，发现原来是保存恶意脚本的请求被拒绝了。
七、【漏洞复现】YApi接口管理平台远程代码执行漏洞
weixin_52351575的博客
09-21 480
​YApi接口管理平台存在一种远程代码执行漏洞。攻击者可以在注册并登录YApi后，通过构造特殊的请求来执行任意代码，从而接管服务器。这个漏洞可能会导致严重的安全风险，因此建议用户及时修复漏洞，更新到最新版本的YApi。3、 编辑Yapi目录下的 config.json 文件，设置 closeRegister 为 true，关闭Yapi的前台注册功能。若YApi对外开放注册功能，攻击者可在注册并登录后，通过构造特殊的请求执行任意代码，接管服务器。3.新建接口-接口名称随意-接口路径为/随意。
实战 - YApi 接口管理平台 后台任意命令执行漏洞
HAKUNAMATATATTA的博客
04-23 749
YApi 接口管理平台 后台存在命令执行漏洞，攻击者通过发送特定的请求可执行任意命令获取服务器权限。
Yapi命令执行漏洞复现
MrHatSec的博客
07-28 4020
YApi是高效、易用、功能强大的api管理平台，旨在为开发、产品、测试人员提供更优雅的接口管理服务。可以帮助开发者轻松创建、发布、维护API，YApi还为用户提供了优秀的交互体验，开发人员只需利用平台提供的接口数据写入工具以及简单的点击操作就可以实现接口的管理。...
手工SQL注入流程与常用语句_sql注入 手工(2)，34岁网络安全开发大叔感慨
2401_83974173的博客
04-16 811
1’ and (select count(*) from information_schema.tables where table_schema=database() group by concat(0x7e,(select table_name from information_schema.tables where table_schema=database() limit 1,1),0x7e,floor(rand(0)*2)))# 通过修改limit后面数字一个一个爆表。
Yapi远程命令执行漏洞复现
Foreverlove112的博客
09-08 1372
Yapi远程命令执行漏洞复现
Yapi 代码执行waf绕过小技巧
liguangyao213的博客
01-22 1662
  疫情在家办公，这时接到boss的电话说要做一个流量分析，老板发话干就干。对恶意告警分析差不多了，没事翻一翻流量，结果意外发现一个大宝贝！就这样开始了与Yapi的美丽邂逅。 高兴之余赶紧注册账户，写入恶意脚本。 const sandbox = this const ObjectConstructor = this.constructor const FunctionConstructor = ObjectConstructor.constructor const myfun = Funct
[漏洞复现]Yapi Mock 远程代码执行漏洞复现
3tefanie丶zhou的博客
07-12 395
一丶漏洞介绍 YApi接口管理平台远程代码执行0day漏洞，攻击者可通过平台注册用户添加接口，设置mock脚本从而执行任意代码。 二丶复现步骤 1.找到注册功能点，注册一个用户 2.利用注册的用户账号密码登陆，添加一个项目 3.然后添加接口 4.在添加的接口里面找到高级Moc，添加脚本POC，保存 5.在预览处点击Mock地址链接，复现成功 三丶修复方案 关闭注册功能，禁止使用默认账号密码 清除可疑账户 删除Mock恶意脚本 ...
YApi远程命令执行漏洞详解与修复
"该文档分析了YApi的远程命令执行漏洞，主要涉及1.12.0以下版本，包括漏洞的概述、环境搭建、漏洞分析和补丁分析等环节。攻击者可以利用MongoDB的盲注漏洞获取项目token，枚举用户uid生成API调用凭证，进一步利用...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

qq_1136014935

你的鼓励将是我创作的最大动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值