简介
YAPI是由去哪儿网移动架构组(简称YMFE,一群由FE、iOS和Android工程师共同组成的最具想象力、创造力和影响力的大前端团队)开发的可视化接口管理工具,是一个可本地部署的、打通前后端及QA的接口管理平台。因为大量用户使用 YAPI的默认配置并允许从外部网络访问YApi服务,导致攻击者注册用户后,即可通过 Mock功能远程执行任意代码。请拿到flag,默认在/tmp/目录中。
复现
漏洞复现步骤
注册测试账号:注册登录后,创建一个项目,然后选择设置全局的mock脚本
点击保存开启添加接口,然后再点击预览可以看到接口的mock地址,进行访问,执行whoami命令成功,漏洞存在。
登录后
创建项目
添加接口