YAPI Mock远程代码执行漏洞

最新推荐文章于 2024-08-23 14:51:13 发布
最新推荐文章于 2024-08-23 14:51:13 发布
阅读量1k 收藏
点赞数
分类专栏： 漏洞 文章标签： 安全 前端
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/weixin_51387754/article/details/121201416
版权
YAPI，一个广泛使用的接口管理平台，存在Mock服务的远程代码执行漏洞。由于mock脚本服务未对JS脚本进行命令过滤，攻击者可植入命令，当用户请求接口时触发执行。漏洞复现过程包括创建项目、添加接口，并在脚本中插入恶意payload。
摘要由CSDN通过智能技术生成

前言

YAPI接口管理平台是国内某旅行网站的大前端技术中心开源项目，使用mock数据/脚本作为中间交互层，为前端后台开发与测试人员提供更优雅的接口管理服务，该系统被国内较多知名互联网企业使用。
YAPI项目使用mock数据/脚本作为中间交互层，为前端后台开发与测试人员提供更优雅的接口管理服务。其中mock数据通过设定固定数据返回固定内容，对于需要根据用户请求定制化响应内容的情况mock脚本通过写JS脚本的方式处理用户请求参数返回定制化内容，本次漏洞就是发生在mock脚本服务上。由于mock脚本自定义服务未对JS脚本加以命令过滤，用户可以添加任何请求处理脚本，因此可以在脚本中植入命令，等用户访问接口发起请求时触发命令执行。

漏洞复现

app=“yapi”
在这里插入图片描述

在这里插入图片描述

在这里插入图片描述添加一个项目
在这里插入图片描述

添加接口

最低0.47元/天 解锁文章
GuiltyFet
关注
专栏目录
YApi远程命令执行漏洞分析.pdf
04-22
### YApi远程命令执行漏洞分析 #### 影响版本与概述 本次分析针对的是YApi在版本1.12.0之前存在的一个远程命令执行漏洞。该漏洞允许未经身份验证的远程攻击者利用MongoDB盲注漏洞来获取数据库中的项目令牌（token...
Yapi Mock 远程代码执行漏洞
weixin_45694388的博客
07-09 605
跟风一波复现Yapi 漏洞描述： YApi接口管理平台远程代码执行0day漏洞，攻击者可通过平台注册用户添加接口，设置mock脚本从而执行任意代码。鉴于该漏洞目前处于0day漏洞利用状态，强烈建议客户尽快采取缓解措施以避免受此漏洞影响 fofa： Fofa:app="YApi" 漏洞复现： 默认注册功能开启。 注册后创建项目： 添加接口： 创建接口成功： 选择“高级Mock”，“脚本”，开启脚本： 写入poc并保存： const sandbox = this const ObjectConstruc
Node.js 常见漏洞学习与总结
lastwinn的博客
02-06 1950
记录自己的所学以及理解
使用 YApi 管理 API 文档，测试， mock
最新发布
weixin_47588164的博客
08-23 377
自定义脚本可根据请求的参数，cookie 信息，使用 javascript 脚本自定义返回的数据。我们假设有个场景，我希望通过 cookie "_type" 控制列表页面数据显示，假设 _type 是 error，那么列表显示异常错误信息；假设 _type 是 empty ，列表显示为空。可使用下面代码实现：代码解读复制代码。
手工SQL注入流程与常用语句_sql注入 手工(2)，34岁网络安全开发大叔感慨
2401_83974173的博客
04-16 814
1’ and (select count(*) from information_schema.tables where table_schema=database() group by concat(0x7e,(select table_name from information_schema.tables where table_schema=database() limit 1,1),0x7e,floor(rand(0)*2)))# 通过修改limit后面数字一个一个爆表。
Yapi命令执行漏洞复现
MrHatSec的博客
07-28 4024
YApi是高效、易用、功能强大的api管理平台，旨在为开发、产品、测试人员提供更优雅的接口管理服务。可以帮助开发者轻松创建、发布、维护API，YApi还为用户提供了优秀的交互体验，开发人员只需利用平台提供的接口数据写入工具以及简单的点击操作就可以实现接口的管理。...
JS中常见的安全漏洞
热门推荐
qq_34309704的博客
04-09 1万+
  1、基于DOM的跨站点脚本编制（XSS） ①XSS（Cross Site Script）：跨站点脚本编制，指的是攻击者向合法的web页面插入恶意的脚本代码（通常是是HTML代码和JS代码），然后提交给服务器，随即服务器响应页面（被植入的恶意脚本代码），攻击者可以利用这些恶意脚本代码进行会话挟持登攻击。例如：攻击者在论坛中放一个看似安全得连接，骗取用户点击之后，盗取cookies得用户隐私信...
centos系统yapi离线安装包大全
01-24
centos系统yapi离线安装包大全，包含以下文件，已测试安装成功 - node-v12.13.0-linux-x64.tar.xz ：nodejs离线...- yapi.tar:yapi可执行程序 - pm2.tar.gz：nodejs程序管理工具(可选使用，后台直接启动vue项目也行)
yapi离线安装包及环境
06-26
初始化和配置完成后，执行以下命令启动YAPI： ``` node server.js ``` 如果一切顺利，你应该能在终端看到YAPI成功启动的信息，此时可以通过浏览器访问`http://localhost:3000`来查看和使用YAPI。 8. **注意...
yapi二次开发的详细手册
04-08
- **克隆Yapi仓库**：使用Git命令从GitHub或Gitee克隆Yapi项目源代码至当前目录。例如，可以从GitHub克隆： ``` git clone https://github.com/YMFE/yapi.git vendors ``` 或者从Gitee克隆： ``` git clone ...
yapi的Chrome插件
08-14
YApi的核心功能包括API管理、接口自动化测试、Mock服务等，能够帮助开发者更好地设计、管理和维护API。本文将深入探讨YApi的Chrome插件及其在API开发中的重要作用。 首先，YApi的Chrome插件是进行Mock测试的关键。...
Yapi Mock RCE 漏洞复现分析
灰蜗牛
07-12 2441
Yapi Mock RCE 漏洞复现分析 文章目录Yapi Mock RCE 漏洞复现分析0x01 基本信息0x02 漏洞复现0x03 漏洞分析0x04 威胁排查0x05 缓解措施 0x01 基本信息 漏洞名称 : YAPI远程代码执行漏洞 组件名称 : YAPI 影响范围 : YAPI <= 1.9.2， 漏洞类型 :远程代码执行 利用条件 : ​ 1、用户认证：需要用户认证 ​ 2、触发方式：远程 综合评价 : <综合评定利用难度>：中等，需要用户认证。 <综合评定威胁等级&gt
[漏洞复现]Yapi Mock 远程代码执行漏洞复现
3tefanie丶zhou的博客
07-12 395
一丶漏洞介绍 YApi接口管理平台远程代码执行0day漏洞，攻击者可通过平台注册用户添加接口，设置mock脚本从而执行任意代码。 二丶复现步骤 1.找到注册功能点，注册一个用户 2.利用注册的用户账号密码登陆，添加一个项目 3.然后添加接口 4.在添加的接口里面找到高级Moc，添加脚本POC，保存 5.在预览处点击Mock地址链接，复现成功 三丶修复方案 关闭注册功能，禁止使用默认账号密码 清除可疑账户 删除Mock恶意脚本 ...
YApi-mocK、自动化测试（简易版）
weixin_69681418的博客
03-07 2867
Mock是一种根据约定规则进行数据模拟的技术，通过mock我们可以在不修改既有代码的情况下，拦截ajax请求，返回模拟的响应数据。总结起来mock有以下优点：让前端工程师独立于后端进行开发；通过随机数据，模拟各种场景，增加单元测试的真实性；开发无侵入；用法简单，符合直觉的接口；测试人员可以通过mock，在接口提测前完成用例的编写。测试可以模拟很多不好模拟的场景，例如各种支付场景，不好模拟真实数据的时候。高级Mock-脚本：函数：var test_arr = [] --定义数组。
远程命令执行漏洞-mock修改
qq_44038971的博客
12-12 309
远程命令执行漏洞-mock修改
使用Yapi进行数据mock
lzfaq的博客
02-23 6635
简单使用mock 选择要设置自己的接口，使用json-schema进行设置。 点击“预览”，可以看到如下数据： { "msg": "ipsum tempor labore", "data": [ { "tbbh": "dolore ea tempor ut eiusmod", "szd": "tempor", "tbxz": "dolor consectetur consequat non amet", "gdmj": 85275157.12
YApi远程命令执行漏洞详解与修复
"该文档分析了YApi的远程命令执行漏洞，主要涉及1.12.0以下版本，包括漏洞的概述、环境搭建、漏洞分析和补丁分析等环节。攻击者可以利用MongoDB的盲注漏洞获取项目token，枚举用户uid生成API调用凭证，进一步利用...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

GuiltyFet

你的鼓励将是我创作的最大动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值