YAPI Mock远程代码执行漏洞

最新推荐文章于 2023-06-28 18:49:40 发布
最新推荐文章于 2023-06-28 18:49:40 发布
阅读量1k 收藏
点赞数
分类专栏： 漏洞 文章标签： 安全 前端
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/weixin_51387754/article/details/121201416
版权
YAPI，一个广泛使用的接口管理平台，存在Mock服务的远程代码执行漏洞。由于mock脚本服务未对JS脚本进行命令过滤，攻击者可植入命令，当用户请求接口时触发执行。漏洞复现过程包括创建项目、添加接口，并在脚本中插入恶意payload。
摘要由CSDN通过智能技术生成

前言

YAPI接口管理平台是国内某旅行网站的大前端技术中心开源项目，使用mock数据/脚本作为中间交互层，为前端后台开发与测试人员提供更优雅的接口管理服务，该系统被国内较多知名互联网企业使用。
YAPI项目使用mock数据/脚本作为中间交互层，为前端后台开发与测试人员提供更优雅的接口管理服务。其中mock数据通过设定固定数据返回固定内容，对于需要根据用户请求定制化响应内容的情况mock脚本通过写JS脚本的方式处理用户请求参数返回定制化内容，本次漏洞就是发生在mock脚本服务上。由于mock脚本自定义服务未对JS脚本加以命令过滤，用户可以添加任何请求处理脚本，因此可以在脚本中植入命令，等用户访问接口发起请求时触发命令执行。

漏洞复现

app=“yapi”
在这里插入图片描述

在这里插入图片描述

在这里插入图片描述添加一个项目
在这里插入图片描述

添加接口

最低0.47元/天 解锁文章
GuiltyFet
关注
  • 0
    点赞
  • 踩
  • 0
    收藏
    觉得还不错? 一键收藏
  • 打赏
    打赏
  • 0
    评论
专栏目录
Yapi命令执行漏洞复现
MrHatSec的博客
07-28 3984
YApi是高效、易用、功能强大的api管理平台，旨在为开发、产品、测试人员提供更优雅的接口管理服务。可以帮助开发者轻松创建、发布、维护API，YApi还为用户提供了优秀的交互体验，开发人员只需利用平台提供的接口数据写入工具以及简单的点击操作就可以实现接口的管理。...
Node.js 常见漏洞学习与总结
lastwinn的博客
02-06 1849
记录自己的所学以及理解
JS中常见的安全漏洞
热门推荐
qq_34309704的博客
04-09 1万+
  1、基于DOM的跨站点脚本编制（XSS） ①XSS（Cross Site Script）：跨站点脚本编制，指的是攻击者向合法的web页面插入恶意的脚本代码（通常是是HTML代码和JS代码），然后提交给服务器，随即服务器响应页面（被植入的恶意脚本代码），攻击者可以利用这些恶意脚本代码进行会话挟持登攻击。例如：攻击者在论坛中放一个看似安全得连接，骗取用户点击之后，盗取cookies得用户隐私信...
YApi-mocK、自动化测试（简易版）
weixin_69681418的博客
03-07 2679
Mock是一种根据约定规则进行数据模拟的技术，通过mock我们可以在不修改既有代码的情况下，拦截ajax请求，返回模拟的响应数据。总结起来mock有以下优点：让前端工程师独立于后端进行开发；通过随机数据，模拟各种场景，增加单元测试的真实性；开发无侵入；用法简单，符合直觉的接口；测试人员可以通过mock，在接口提测前完成用例的编写。测试可以模拟很多不好模拟的场景，例如各种支付场景，不好模拟真实数据的时候。高级Mock-脚本：函数：var test_arr = [] --定义数组。
远程命令执行漏洞-mock修改
qq_44038971的博客
12-12 289
远程命令执行漏洞-mock修改
使用 YApi 管理 API 文档，测试， mock
nhb687096的博客
06-08 1737
自定义脚本可根据请求的参数，cookie 信息，使用 javascript 脚本自定义返回的数据。我们假设有个场景，我希望通过 cookie "_type" 控制列表页面数据显示，假设 _type 是 error，那么列表显示异常错误信息；假设 _type 是 empty ，列表显示为空。
Yapi Mock 远程代码执行漏洞
weixin_45694388的博客
07-09 586
跟风一波复现Yapi 漏洞描述： YApi接口管理平台远程代码执行0day漏洞，攻击者可通过平台注册用户添加接口，设置mock脚本从而执行任意代码。鉴于该漏洞目前处于0day漏洞利用状态，强烈建议客户尽快采取缓解措施以避免受此漏洞影响 fofa： Fofa:app="YApi" 漏洞复现： 默认注册功能开启。 注册后创建项目： 添加接口： 创建接口成功： 选择“高级Mock”，“脚本”，开启脚本： 写入poc并保存： const sandbox = this const ObjectConstruc
YApi远程命令执行漏洞分析.pdf
最新发布
04-22
### YApi远程命令执行漏洞分析 #### 影响版本与概述 本次分析针对的是YApi在版本1.12.0之前存在的一个远程命令执行漏洞。该漏洞允许未经身份验证的远程攻击者利用MongoDB盲注漏洞来获取数据库中的项目令牌（token...
centos系统yapi离线安装包大全
01-24
centos系统yapi离线安装包大全，包含以下文件，已测试安装成功 - node-v12.13.0-linux-x64.tar.xz ：nodejs离线...- yapi.tar:yapi可执行程序 - pm2.tar.gz：nodejs程序管理工具(可选使用，后台直接启动vue项目也行)
yapi离线安装包及环境
06-26
初始化和配置完成后，执行以下命令启动YAPI： ``` node server.js ``` 如果一切顺利，你应该能在终端看到YAPI成功启动的信息，此时可以通过浏览器访问`http://localhost:3000`来查看和使用YAPI。 8. **注意...
yapi二次开发的详细手册
04-08
- **克隆Yapi仓库**：使用Git命令从GitHub或Gitee克隆Yapi项目源代码至当前目录。例如，可以从GitHub克隆： ``` git clone https://github.com/YMFE/yapi.git vendors ``` 或者从Gitee克隆： ``` git clone ...
YAPI源码，用于构建YAPI服务。
03-04
5. Mock Server：YAPI内置Mock功能，可以根据接口定义生成模拟数据，方便前端开发独立进行。 接下来，我们探讨如何使用源码构建YAPI服务： 1. 安装环境：确保已经安装了Node.js和Git。YAPI依赖MongoDB作为数据库，...
使用Yapi进行数据mock
lzfaq的博客
02-23 6544
简单使用mock 选择要设置自己的接口，使用json-schema进行设置。 点击“预览”，可以看到如下数据： { "msg": "ipsum tempor labore", "data": [ { "tbbh": "dolore ea tempor ut eiusmod", "szd": "tempor", "tbxz": "dolor consectetur consequat non amet", "gdmj": 85275157.12
【接口mock工具】推荐一个好用的api接口关联，接口mock，文档管理的工具-yapi
xzb5566的专栏
06-28 375
【接口mock工具】推荐一个好用的api接口关联，接口mock，文档管理的工具-yapi
【漏洞复现】Yapi接口管理平台RCE漏洞汇总
做自己喜欢的事，并将其发挥到极致！
01-10 6318
YApi 是高效、易用、功能强大的 api 管理平台，旨在为开发、产品、测试人员提供更优雅的接口管理服务。可以帮助开发者轻松创建、发布、维护 API，YApi 还为用户提供了优秀的交互体验，开发人员只需利用平台提供的接口数据写入工具以及简单的点击操作就可以实现接口的管理。
Yapi Mock功能使用
爱捉虫的猫
12-24 3899
一、背景 为什么要使用Mock？ （1）前后端和测试 团队可以并行工作，前后端人员只需要定义好接口文档就可以开始并行工作，互不影响，只在最后的联调阶段往来密切；后端与后端之间如果有接口耦合，也同样能被Mock解决。 （2）可以开启TDD（测试驱动开发）模式，测试人员可以通过mock，在接口提测前完成用例的编写。 （3）测试可以模拟很多不好模拟的场景，比如你需要接口返回500，不再需要开发给代码动手脚即可实现。总之，想要什么返回就mock什么返回，是不是很cool？ 。。。。。。 二、yapi mock的分类
JD-FreeFuck 后台RCE漏洞
weixin_51387754的博客
11-05 8527
漏洞简介 RCE英文全称：remote command/code execute 分为远程命令执行ping和远程代码执行evel。 漏洞出现的原因：没有在输入口做输入处理。 我们常见的路由器、防火墙、入侵检测等设备的web管理界面上 一般会给用户提供一个ping操作的web界面，用户从web界面输入目标IP，提交后，后台会对该IP地址进行一次ping测试，并返回测试结果。其实这就是一个接口，可以让攻击者直接向后台服务器远程注入操作系统命令或者代码，从而控制后台系统，这就是RCE漏洞。 漏洞复现 fofa语法
YApi远程命令执行漏洞详解与修复
"该文档分析了YApi的远程命令执行漏洞，主要涉及1.12.0以下版本，包括漏洞的概述、环境搭建、漏洞分析和补丁分析等环节。攻击者可以利用MongoDB的盲注漏洞获取项目token，枚举用户uid生成API调用凭证，进一步利用...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

GuiltyFet

你的鼓励将是我创作的最大动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值