CVE-2021-21315 Linux sudoNode.js命令注入

最新推荐文章于 2024-10-11 20:20:06 发布
最新推荐文章于 2024-10-11 20:20:06 发布
阅读量1.6k 收藏
点赞数
文章标签： linux node.js web安全
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/weixin_47179815/article/details/125799014
版权
本文介绍了CVE-2021-21315，一个影响Node.js-systeminformation模块的命令注入漏洞。漏洞允许攻击者通过未过滤的参数执行系统命令，获取服务器高权限。详细内容包括漏洞原理、环境搭建步骤、漏洞复现过程以及修复方案，建议及时更新systeminformation到5.3.1或更高版本。
摘要由CSDN通过智能技术生成

CVE-2021-21315 Linux sudoNode.js命令注入

漏洞简历

漏洞简介

Node.js是一个基于Chrome V8引擎的JavaScript运行环境，用于方便的搭建响应速度快、易于拓展的网络应用，它包含多种轻量级功能，可以检索详细的硬件和系统相关信息。Node使用Module模块划分不同的功能，每一个模块都包含非常丰富的函数，如http就包含了和http相关的很多函数，帮助开发者对http、tcp/udp等进行操作或创建相关服务器。

漏洞原理

Node.js-systeminformation是用于获取各种系统信息的Node.js模块,在存在命令注入漏洞的版本中，攻击者可以通过未过滤的参数中注入payload执行系统命令。攻击者可以通过在未经过滤的参数中注入Payload来执行系统命令，最终获取服务器最高权限。

漏洞信息

漏洞名称 Linux sudoNode.js命令注入漏洞
漏洞编号 CVE-2021-21315
危害等级 严重
CVSS评分 7.8
漏洞类型 Node.js-systeminformation
漏洞厂商 node
漏洞组件 Node.js-systeminformation
受影响版本 Systeminformation < 5.3.1
漏洞概述 Fastjson是一个阿里巴巴Java语言编写的高性能JS
最低0.47元/天 解锁文章
初兮&
关注
CVE-2021-21315 NodeJs命令注入漏洞复现
wurisansheng的博客
10-11 1346
一、简介： Node.js是一个基于Chrome V8引擎的JavaScript运行环境，用于方便的搭建响应速度快、易于拓展的网络应用。Node使用Module模块划分不同的功能，每一个模块都包含非常丰富的函数，如http包含了和http相关的很多函数，帮助开发者对http、tcp、udp等进行操作或创建相关服务器。 二、漏洞描述： Node.js-systeminformation是用于获取各种信息的Node.js模块，在存在命令注入漏洞的版本中，攻击者可以通过未过滤的参数注入payload执行系统
Node.js命令注入漏洞(CVE-2021-21315)复现
玄道的网安博客
04-09 3018
简介 Node.js-systeminformation是用于获取各种系统信息的Node.JS模块，它包含多种轻量级功能，可以检索详细的硬件和系统相关信息。 影响版本 Systeminformation < 5.3.1 环境搭建 这里用node10.16.0进行测试 源码下载 git clone https://github.com/ForbiddenProgrammer/CVE-2021-21315-PoC.git nodejs开启http...
CVE-2021-21315漏洞复现
weixin_57379923的博客
08-19 588
靶机：CentOS7 IP:192.168.100.40。攻击机：kali IP:192.168.100.60。下载node.js环境。
CVE-2021-21315-PoC：CVE 2021-21315 PoC
03-03
CVE-2021-21315系统信息 这是的概念证明，它影响到的系统信息库（npm程序包“ systeminformation”）。 “请务必检查或清理传递给si.inetLatency（），si.inetChecksite（），si.services（），si.processLoad（）的服务参数...仅允许使用字符串，拒绝任何数组。字符串清理如预期般运作。” 因为没有很好地解释漏洞（我认为），所以我决定根据系统信息的漏洞版本编写小型应用程序。 PoC包含： 使用明确的易受攻击的系统信息测试Node.js中制作的应用 简单测试有效负载即可在受影响的计算机上创建.txt文件 重现步骤： 在Linux服务器环境上运行应用程序 向site.com/api/getServices?name=nginx发出GET请求（nginx只是示例） 现在尝试发送这样的请求：yoursite.co
如何在Node.js里实现依赖注入
最新发布
zmh_fuhuasishui的专栏
10-11 780
在IoC中，对程序流的控制是颠倒的：依赖项不是控制其依赖项的创建和管理的组件，而是从外部源提供给组件。易于维护：由于组件之间的依赖关系是由外部控制的，因此修改一个组件的依赖项时，不需要修改组件本身的代码，只需要调整外部的配置或代码。在传统的编程模式中，一个组件可能会直接创建并管理它所依赖的其他组件，这会导致组件之间的耦合度较高，难以维护和测试。解耦：组件不再直接依赖于具体的依赖项实现，而是依赖于抽象的接口或抽象类，这样可以降低组件之间的耦合度。这些库提供了更高级的功能，如依赖的自动解析、生命周期管理等。
node.js 命令执行 （CVE-2021-21315）
小小猪的博客
12-30 2232
node.js 命令执行 （CVE-2021-21315） 漏洞简介： Node.js库中的systeminformation软件包中存在一个命令注入漏洞（CVE-2021-21315）攻击者可以通过「systeminformation」中代码注入漏洞的存在意味着攻击者可以通过在组件使用的未初始化参数内小心翼翼地注入有效载荷来执行系统命令。 影响版本： Systeminformation < 5.3.1 环境搭建： 在线环境 地址 漏洞复现： 访问首页 DNSlog申请网址..
Node.Js命令执行(CVE-2021-21315)
m0_65150886的博客
02-20 538
Node使用Module模块划分不同的功能，每一个模块都包含非常丰富的函数，如http就包含了和http相关的很多函数，帮助开发者对http、tcp/udp等进行操作或创建相关服务器。Node.js-systeminformation是用于获取各种系统信息的Node.js模块,在Systeminformation < 5.3.1的版本中，存在命令执行漏洞，攻击者可以通过未过滤的参数中注入payload执行系统命令。6.尝试发送这样的请求：http://ip:port/api/getServices?
node.js 命令执行 （CVE-2021-21315）复现[VULFOCUS]
m0_37638874的博客
09-06 2209
Node.js-systeminformation是用于获取各种系统信息的Node.JS模块，它包含多种轻量级功能，可以检索详细的硬件和系统相关信息 npm团队发布安全公告，Node.js库中的systeminformation软件包中存在一个命令注入漏洞（CVE-2021-21315），其CVSSv3评分为7.8。攻击者可以通过在未经过滤的参数中注入Payload来执行系统命令。里注册申请一个账号，得到一个申请的网址。
CVE-2020-16898: Windows操作系统 TCP-IP远程执行代码漏洞
weixin_38896449的博客
12-03 731
这里写目录标题1.漏洞描述2.影响版本3.漏洞排查4.漏洞利用5.漏洞修复 1.漏洞描述 10月，微软官方发布安全公告，修复了Windows操作系统内的TCP/IP远程代码执行漏洞（CVE-2020-16898）。攻击者可通过发送特制的ICMPv6 Router Advertisement（路由通告）数据包至远程Windows主机，即可在目标主机上执行任意代码。 漏洞风险：严重 2.影响版本 Windows 10 version 1709/1803/1809/1903/1909/2004 Windows S
CVE-2021-21315v2
05-07
CVE-2021-21315系统信息 这是的概念证明，它影响到的系统信息库（npm程序包“ systeminformation”）。 “请务必检查或清理传递给si.inetLatency（），si.inetChecksite（），si.services（），si.processLoad（）...
CVE-2021-22986 F5 BIG-IP-IQ 远程代码执行.md
04-23
CVE-2021-22986 F5 BIG-IP-IQ 远程代码执行
laravel-CVE-2021-3129-EXP-main.zip 写shellexp
12-17
**Laravel 框架中的 CVE-2021-3129 漏洞详解及 EXP 利用** Laravel 是一个流行的开源 PHP Web 应用框架，以其优雅的语法和强大的功能深受开发者喜爱。然而，就像任何其他软件一样，Laravel 也存在安全漏洞。其中之...
CVE-2021-25646-Apache Druid漏洞POC.py
02-26
CVE-2021-25646-Apache Druid漏洞POC.py
NodeJS依赖注入
weixin_30477293的博客
06-21 295
我们的服务器应当知道路由的存在并加以有效利用。我们当然可以通过硬编码的方式将这一依赖项绑定到服务器上，但是其它语言的编程经验告诉我们这会是一件非常痛苦的事，因此我们将使用依赖注入的方式较松散地添加路由模块（你可以读读Martin Fowlers关于依赖注入的大作来作为背景知识）。 首先，我们来扩展一下服务器的start()函数，以便将路由函数作为参数传递过去： var http = requi...
春秋云镜 CVE-2021-21315
qq_22002773的博客
08-16 465
春秋云镜 CVE-2021-21315
linux命令注入,Linux kernel本地命令注入漏洞
weixin_39794340的博客
04-28 222
Linux kernel本地命令注入漏洞2005-10-19eNet&CiweekLinux kernel 2.2.6Linux kernel 2.2.5Linux kernel 2.2.4Linux kernel 2.2.3Linux kernel 2.2.2Linux kernel 2.2.1Linux kernel 2.2 .x+ RedHat Linux 6.2 alpha+ Re...
Node.Js命令执行漏洞（CVE-2021-21315）复现及排查
dayouzi的博客
08-15 2088
Node.js是一个基于Chrome V8引擎的JavaScript运行环境，用于方便的搭建响应速度快、易于拓展的网络应用。Node使用Module模块划分不同的功能，每一个模块都包含非常丰富的函数，如http就包含了和http相关的很多函数，帮助开发者对http、tcp/udp等进行操作或创建相关服务器。Node.js-systeminformation是用于获取各种系统信息的Node.js模块,在存在命令注入漏洞的版本中，攻击者可以通过未过滤的参数中注入payload执行系统命令。
CVE-2021-21315漏洞复现-kali2020.4
weixin_43867542的博客
07-19 1423
漏洞名称：systeminformation 操作系统命令注入漏洞 等级危害：高危 CVSS评分：7.8 漏洞类型：操作系统命令注入 漏洞概述 systeminformation中存在操作系统命令注入漏洞，该漏洞源于外部输入数据构造操作系统可执行命令过程中，网络系统或产品未正确过滤其中的特殊字符、命令等。攻击者可利用该漏洞执行非法操作系统命令。 受影响版本 systeminformation < 5.3.1 环境概述 kali2020.4 漏洞复现 1.准备工作 ...
评论 1
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值