本文介绍了Total.js CMS 12.0.0版本中的命令注入漏洞，详细阐述了漏洞概述、环境搭建步骤及漏洞的利用方法。通过下载源码，安装依赖并启动服务，攻击者可以利用该漏洞执行非法命令。在Windows环境下，通过特定脚本，可实现远程下载、执行并删除文件，虽然无回显，但可通过DNS外带数据。
0X01 漏洞概述
Total.js CMS是一套基于NoSQL数据库的内容管理系统（CMS）。
Total.js CMS 12.0.0版本中存在命令注入漏洞，攻击者可利用该漏洞执行非法命令。
0X02环境搭建
方法一：下载源码
https://my.totaljs.com/或者https://github.com/totaljs/cms
Windows下安装npm
参考：https://blog.csdn.net/zhao1949/article/details/53907827 
到下载的Total.js CMS 12目录下
npm install
nodedebug.js
访问：http://127.0.0.1:8000/
http://127.0.0.1:8000/admin/
最低0.47元/天 解锁文章
6290
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
