XXL-JOB 默认 accessToken 身份绕过漏洞复现

最新推荐文章于 2024-03-20 08:01:40 发布
最新推荐文章于 2024-03-20 08:01:40 发布
阅读量2.1k 收藏 2
点赞数 4
分类专栏： 漏洞复现 文章标签： web安全 安全 网络安全
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/qq_41904294/article/details/134201486
版权

0x01 产品简介

  XXL-JOB 是一款开源的分布式任务调度平台，用于实现大规模任务的调度和执行。

0x02 漏洞概述

     XXL-JOB 默认配置下，用于调度通讯的 accessToken 不是随机生成的，而是使用 application.properties 配置文件中的默认值。在实际使用中如果没有修改默认值，攻击者可利用此绕过认证调用 executor，执行任意代码，从而获取服务器权限。

XXL-JOB之前版本accessToken的值都为空，2.3.1后才出现默认值，如下：

0x03 影响范围

     xxl-job-2.3.1、2.4.0版本

0x04 复现环境

FOFA："invalid request, HttpMethod not support" && port="9999"

0x05 漏洞复现 

PoC

POST /run HTTP/1.1
Host: your-ip
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:109.0) Gecko/20100101 Firefox/111.0
Accept-Encoding: gzip, deflate, br
Conne
了解本专栏 订阅专栏 解锁全文 超级会员免费看
0xSecl
关注
  • 4
    点赞
  • 踩
  • 2
    收藏
    觉得还不错? 一键收藏
  • 打赏
    打赏
  • 0
    评论
专栏目录
订阅专栏
【漏洞复现】XXL-JOB默认accessToken身份绕过远程命令执行漏洞
失心少年
11-09 411
技术文章仅供参考，任何个人和组织使用网络应当遵守宪法法律，遵守公共秩序，尊重社会公德，不得利用网络从事危害国家安全、荣誉和利益，未经授权请勿利用文章中的技术资料对任何计算机系统进行入侵操作。XXL-JOB 是一个轻量级分布式任务调度平台，其核心设计目标是开发迅速、学习简单、轻量级、易扩展。xxl-job是一个中心式分布式的调度平台，调度中心和执行器解耦，执行器和业务代码耦合，代码的侵入性少，学习简单、开发简单、轻量级。漏洞链接：http://127.0.0.1:9999/run。
xxl-job-executor:与xxl-job-executor的集成
04-19
xxl-job-executor的gin中间件 背景 xxl-job-executor-go是xxl-job的golang执行器，可以独立运行，有时候我们要与项目或者框架（如:gin框架）集成起来合并为一个服务，本项目因此而生。 执行器项目地址 与gin集成示例 package main import ( "github.com/gin-gonic/gin" "github.com/gin-middleware/xxl-job-executor" "github.com/xxl-job/xxl-job-executor-go" "github.com/xxl-job/xxl-job-executor-go/example/task" "log" ) const Port = "9999" func main() { //初始化执行器 exec := xxl.NewExecut
XXL-JOB默认accessToken身份绕过--远程代码执行漏洞复现
Tender*的博客
11-14 1592
该漏洞是由于XXL-JOB 在默认配置下，用于调度通讯的 accessToken 不是随机生成的，而是使用 application.properties 配置文件中的默认值，如果用户没有修改该默认值，攻击者可利用此绕过认证调用 executor，执行任意代码，导致远程代码执行。链接：https://pan.baidu.com/s/12AkZ6JdpOm36bHrq1EEVPQ。XXL-JOB是一款开源的分布式任务调度平台，用于实现大规模任务的调度和执行。也可以尝试去搭建环境复现。三.网络空间测绘查询。
漏洞实战(2)：XXL-JOB默认密钥漏洞
OneMoreThink
03-20 864
原理危害攻击搜索服务部署服务安装Java安装Maven安装XXL-JOB利用漏洞防御1、原理XXL-JOB[1]是一个分布式任务调度平台，分为调度中心和执行器两部分。在最新的两个版本中（2022年5月21日发布的2.3.1版本、2023年5月23日发布的2.4.0版本），XXL-JOB默认启用accessToken，在调度中心与执行器之间进行调度通讯时，用于证明自己的身份。accessToken的...
CodeQL分析XXL-JOB默认accessToken命令执行漏洞
INSBUG的博客
11-10 989
accessToken 本来是为了修复2020年xxl-job 执行器executor RESTful API 未授权访问 RCE 漏洞，为了防止其未授权添加了accessToken校验，但是很多人在使用该框架的时候并未修改其默认的值xxl.job.accessToken=default_token，与之前shiro的默认key泄漏导致的RCE原理很相似。CodeQL本质上和其他的代码审计工具没什么不同，都是通过规则来查询疑似有安全问题的代码，只是分析技术不同而已，且规则自由度大。
XXL-JOB 默认 accessToken 身份绕过导致 RCE
千寻的博客
11-04 1442
XXL-JOB 默认配置下，用于调度通讯的` accessToken `不是随机生成的，而是使用 `application.properties `配置文件中的默认值。 在实际使用中如果没有修改默认值，攻击者可利用此`绕过认证调用 executor`，执行`任意代码`，从而`获取服务器权限`。
漏洞分析|XXL-JOB accessToken 存在身份认证绕过漏洞
xuandaoren的博客
11-09 2352
官方已修复该漏洞，建议用户修改调度中心和执行器配置项 xxl.job.accessToken 的默认值。XXL-JOB是许雪里（XXL-JOB）社区的一款基于java语言的分布式任务调度平台。Web IDE：任务以源码方式维护在调度中心，支持通过Web IDE在线开发、维护。动态生效：用户在线通过Web IDE开发的任务代码，远程推送至执行器，实时加载执行。Shell、Python、NodeJS、PHP、PowerShell……XXL-JOB为了灵活支持多语言以及脚本任务，提供了创新的 “
XXL-JOB入门教学
前者已逝，后者未至。
04-23 5357
XXL-JOB是一个分布式任务调度平台，其核心设计目标是开发迅速、学习简单、轻量级、易扩展。现已开放源代码并接入多家公司线上产品线，开箱即用。
SpringBoot集成XXL-JOB分布式任务调度
查查攻城狮
07-05 1664
下载地址：XXXL开源社区1、初始化数据库 2、修改配置文件 修改数据库密码，注意spring.mail.password设置是邮箱授权码，不是邮箱密码3、启动项目http://localhost:8080/xxl-job-admin/ 账号和密码，admin/1234561、新建执行器 2、新增任务管理器报警邮件：当调度任务发生异常时，会往当前邮箱发送报警邮件JobHandler：这个名称可以随便写，但要记住这个名称，因为springboot集成时会用到这个名称其他的默认就行1、依赖 2、prope
xxl-job使用
gltncx11的博客
07-27 7723
下载xxl-job源码,地址 下载完成后现根据sql脚本生成数据库 数据库生成后配置必要的配置参数 这里的smtp服务需要开通,可以自行百度,配置用于调度任务出错时提示报警信息 如果配置了token,在其他要注册到xxl-job的服务中也需要配置相同的token 配置使用xxl-job进行任务调度的服务(即注册到xxl-job的服务) 配置XxlJobConfig类 @Configuration public class XxlJobConfig { @Value("${xxl.jo
xxl-job使用详解（包含部分踩坑信息）
FanZaiYo的博客
07-10 3010
XXL-JOB 是一个，其核心设计目标是开发迅速、学习简单、轻量级、易扩展。分布式下，每个服务都可以搭建为集群
XXL-JOB 任务调度平台实践
weixin_42469070的博客
02-11 1170
拷贝xxl-job-executor.properties配置文件在在resources目录下【参考xxl-job-executor-samples目录下的xxl-job-executor-sample-spring项目的xxl-job-executor.properties配置文件】因为spring-xxl-job是web项目，需要web【拷贝xxl-job-executor-samples目录下的xxl-job-executor-sample-spring项目的web文件夹】
xxl-job适配达梦数据库
02-02
xxl-job适配达梦数据库（DM8），附带数据库脚本，用户名密码自行修改，SCHEMA=xxl_job
009 springboot整合mybatis-plus 增删改查 ajax 登录退出accessToken
最新发布
04-18
拦截器(分页、token)
XXL-JOB反弹shell利用工具（xxl-jobExploitGUI）
11-03
工具实现了XXL-JOB默认accessToken权限绕过漏洞的单个检测、批量检测、一键反弹shell功能，后续会持续更新优化，添加POC检测等。（由于传播、利用此资源所提供的信息或者工具而造成的任何直接或者间接的后果及损失，...
Node.js-获取微信accesstoken并在nodejs平台上签名
08-10
获取微信access_token并在nodejs平台上签名
Go-微信AccessToken中控服务器
08-13
微信Access Token中控服务器，用来统一管理各个公众号的access_token，提供统一的接口进行获取和自动刷新Access Token。
iOS开发之路--微博OAuth授权_取得用户授权的accessToken
09-04
本文是IOS开发之路系列文章的第二篇，讲诉的内容是如何使用微博OAuth授权，并付源码，然后详细讲解了取得用户授权的accessToken，希望对大家有所帮助
xxl-job配置须知
qq_27246521的博客
11-16 284
注意配置中的appname这是执行器的应用名，稍后在调度中心配置执行器时要使用。执行器也有自己的一个接口等。
docker run -p 9110:9110 -e PARAMS=" --server.port=9110 --spring.datasource.url=jdbc:mysql://192.168.1.42:3306/xxl_job?useUnicode=true&useSSL=false&characterEncoding=UTF-8&serverTimezone=GMT%2B8 --spring.datasource.username=root --spring.datasource.password=flow@2023 --xxl.job.accessToken=default_token" -v /home/flow/deploy/deploy-online/project-docker/home/xxl-job/data:/data/applogs --name xxl-job-admin --restart=always -d xuxueli/xxl-job-admin:2.3.1
06-09
这是一个用于在Docker中启动xxl-job-admin服务的命令，具体参数说明如下： - -p 9110:9110：将容器内的9110端口映射到主机的9110端口上，以便外部可以访问服务。 - -e PARAMS="..."：设置xxl-job-admin服务的启动参数，其中包括服务端口、数据库连接等信息。 - -v /home/flow/deploy/deploy-online/project-docker/home/xxl-job/data:/data/applogs：将容器内的日志目录映射到主机上的/data/applogs目录，以便在主机上查看服务的日志。 - --name xxl-job-admin：指定容器的名称为xxl-job-admin。 - --restart=always：设置容器在退出后自动重启。 - -d xuxueli/xxl-job-admin:2.3.1：指定容器要运行的镜像为xuxueli/xxl-job-admin:2.3.1，并以后台模式运行。 您可以将此命令保存为一个脚本文件，例如“start-xxl-job-admin.sh”，然后在终端中使用以下命令运行： ``` bash start-xxl-job-admin.sh ``` 注意，您需要根据实际情况修改命令中的端口、数据库连接、日志目录等参数。

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

0xSecl

你的鼓励将是我创作的最大动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值