Apache SkyWalking SQL注入漏洞(CVE-2020-9483)复现

最新推荐文章于 2024-07-18 16:03:47 发布
最新推荐文章于 2024-07-18 16:03:47 发布
阅读量2.3k 收藏 2
点赞数 1
分类专栏： 安全 文章标签： 安全
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/xuandao_ahfengren/article/details/114392378
版权
Apache SkyWalking是一款用于分布式系统性能监控的工具，尤其适合微服务和云原生环境。本文介绍了CVE-2020-9483 SQL注入漏洞，受影响的版本为6.5.0。通过环境搭建，展示了如何复现此漏洞，并成功获取了H2数据库的版本信息。为修复该问题，建议升级到安全版本。
摘要由CSDN通过智能技术生成

简介

 

Apache Skywalking是一款针对分布式系统的应用程序性能监视工具，为微服务，云原生和基于容器（Docker，Kubernetes，Mesos）的体系结构而设计。

影响版本

 

Apache SkyWalking 6.0.0 to 6.6.0, 7.0.0

环境搭建

 

这里下载6.5.0进行搭建

下载地址

https://archive.apache.org/dist/skywalking/6.5.0/apache-skywalking-apm-6.5.0.tar.gz

进入bin目录并启动

cd apache-skywalking-apm-bin/bin/

./startup.sh

访问http://your-ip:8080即可查看Skywal

最低0.47元/天 解锁文章
玄道网安
关注
专栏目录
Apache-Skywalking-SQL注入复现+利用(CVE-2020-9483)
0xSec
03-12 1423
当Apache SkyWalking使用H2 / MySQL / TiDB作为Apache SkyWalking存储时，通过GraphQL协议查询元数据时，存在SQL注入漏洞，该漏洞允许访问未指定的数据。 Apache SkyWalking 6.0.0到6.6.0、7.0.0 H2 / MySQL / TiDB存储实现不使用适当的方法来设置SQL参数。
CVE-2020-9483 apache skywalking SQL注入漏洞
mirocky的博客
10-13 1362
当使用H2 / MySQL / TiDB作为Apache SkyWalking存储时，通过GraphQL协议查询元数据时，存在SQL注入漏洞，该漏洞允许访问未指定的数据。Apache SkyWalking 6.0.0到6.6.0、7.0.0 H2 / MySQL / TiDB存储实现不使用适当的方法来设置SQL参数。
【CVE-2020-9483】Apache SkyWalking 存在的SQL注入漏洞复现
weixin_43923736的博客
06-02 1865
【CVE-2020-9483】Apache SkyWalking 存在的SQL注入漏洞复现
skywalking SQL注入 （CVE-2020-9483）
最新发布
qq_23003811的博客
07-18 259
当使用H2 / MySQL / TiDB作为Apache SkyWalking存储时，通过GraphQL协议查询元数据时，存在SQL注入漏洞，该漏洞允许访问未指定的数据。Apache SkyWalking是美国阿帕奇软件（Apache Software）基金会的一款主要用于微服务、云原生和基于容器等环境的应用程序性能监视器。2、使用burp抓包，重放/graphql的post请求。1、访问目录/graphql。3、提交payload。
Apache Skywalking ＜= 8.3 SQL注入(漏洞分析|snort规则编写)
weixin_68999845的博客
08-21 1227
Apache Skywalking
Apache SkyWalking SQL注入(CVE-2020-9483)
jammny
02-01 933
漏洞详情 当使用H2 / MySQL / TiDB作为Apache SkyWalking存储时，通过GraphQL协议查询元数据时，存在SQL注入漏洞，该漏洞允许访问未指定的数据。 Apache SkyWalking 6.0.0到6.6.0、7.0.0 H2 / MySQL / TiDB存储实现不使用适当的方法来设置SQL参数。 影响版本 Apache SkyWalking 6.0.0 to 6.6.0, 7.0.0 漏洞分析 漏洞利用 访问/graphql进行抓包，POST提交如下poc:
vulhub漏洞复现63_Skywalking
weixin_44193247的博客
02-12 488
vulhub漏洞复现练习篇
apache-skywalking-apm-bin-es7-8.0.1.tar.gz
03-18
这个压缩包“apache-skywalking-apm-bin-es7-8.0.1.tar.gz”包含了SkyWalking的8.0.1版本，专为与Elasticsearch 7集成设计。 SkyWalking的主要功能包括： 1. **分布式追踪**：SkyWalking能够收集并分析应用之间的...
apache-skywalking-java-agent-8.9.0
05-21
在这个"apache-skywalking-java-agent-8.9.0"版本中，我们将探讨这个Java代理如何监控JVM服务，并深入理解其相关知识点。 1. **SkyWalking Java Agent**：SkyWalking的Java代理是一个自动探针，可以无侵入地附加到...
Apache Skywalking 8.3.0 SQL注入漏洞
EC_Carrot的博客
07-28 785
漏洞简介 在Apache Skywalking 8.3.0版本及以前的GraphQL接口中，存在一处H2 Database SQL注入漏洞。 漏洞复现 参考了这位大佬的文章：https://www.linuxlz.com/aqld/2028.html 发送如下数据包即可查看数据库版本： POST /graphql HTTP/1.1 Host: localhost:8080 Cache-Control: max-age=0 Upgrade-Insecure-Requests: 1 User-Agent: Mo
Apache SkyWalking的Sql注入(cve-2020-9483)
鸣蜩十四的博客
09-27 1474
简介 Apache SkyWalking 是一款应用性能监控（APM）工具，对微服务、云原生和容器化应用提供自动化、高性能的监控方案。项目于 2015 年创建，并于 2017 年 12 月进入 Apache 孵化器。 Apache SkyWalking 提供了分布式追踪，服务网格（Service Mesh）遥感数据分析，指标聚合和可视化等多种能力。项目覆盖范围，从一个单纯的分布式追踪系统，扩展为一个可观测性分析平台（observability analysis platform）和应用性能监控管理系统。 漏
紧急通告：Apache SkyWalking SQL(CVE-2020-13921)风险通告
m0_48520508的博客
08-08 486
0x01漏洞描述 近日，腾讯安全团队向Apache SkyWalking官方团队提交SQL注入漏洞，攻击者可利用漏洞获取服务器的敏感信息，目前官方已发布新版本修复该漏洞。 东塔安全学院建议相关单位及时开展安全自查，如在受影响范围，请您及时进行更新修复，避免被外部攻击者入侵。 0x02漏洞详情 在SkyWalking多个版本中，默认开放的未授权GraphQL接口，通过该接口，攻击者可以构造恶意的请求包进行SQL注入，从而导致用户数据库敏感信息泄露。鉴于该漏洞影响较大，建议企业尽快修复。 Apache Sky.
[CVE-2020-9483/13921]Apache SkyWalking SQL注入
公众号shadow sock7
08-07 2905
参考： https://www.weibo.com/ttarticle/p/show?id=2309404520814409023617 编译好的6.5.0版本： wget https://archive.apache.org/dist/skywalking/6.5.0/apache-skywalking-apm-6.5.0.tar.gz cd apache-skywalking-apm-bin/bin vi oapService.sh 加上调试参数： DEBUG_OPTIONS="-agentlib
skywalking修复log4j漏洞
batman
01-19 2301
背景 漏洞产生的原因，在于 Log4j2 允许 JNDI 任意连接服务器，在 org.apache.logging.log4j.core.lookup.JndiLookup#lookup 中，代码如下： @Override public String lookup(final LogEvent event, final String key) { if (key == null) { return null; } final String jndiName = co.
[Vulfocus解题系列]skywalking SQL注入 （CVE-2020-9483）
00勇士王子的博客
01-12 3785
描述 Apache SkyWalking是美国阿帕奇软件（Apache Software）基金会的一款主要用于微服务、云原生和基于容器等环境的应用程序性能监视器。 当使用H2 / MySQL / TiDB作为Apache SkyWalking存储时，通过GraphQL协议查询元数据时，存在SQL注入漏洞，该漏洞允许访问未指定的数据。 复现过程 注：本次复现使用在线靶场http://vulfocus.fofa.so 打开环境 加上路径抓包 /graphql 改成post，加上payload,利用报错注入
Apache-Skywalking-SQL注入(CVE-2020-9483)复现
weixin_42558965的博客
10-08 1281
漏洞描述 Apache SkyWalking 是一款应用性能监控（APM）工具，对微服务、云原生和容器化应用提供自动化、高性能的监控方案。当Apache SkyWalking使用H2 / MySQL / TiDB作为Apache SkyWalking存储时，通过GraphQL协议查询元数据时，存在SQL注入漏洞，该漏洞允许访问未指定的数据。 Apache SkyWalking 6.0.0到6.6.0、7.0.0 H2 / MySQL / TiDB存储实现不使用适当的方法来设置SQL参数。 影响版本 Apac
中间件安全-CVE漏洞复现-Docker+Websphere+Jetty
xiaoheizi的博客
07-15 593
如果拿下的shell是docker容器的，就要进行docker逃逸来获取宿主机shell，因为在docker容器执行命令影响不到宿主机。Docker容器是使用沙盒机制，是单独的系统，理论上是很安全的，通过利用某种手段，再结合执行POC或EXP，就可以返回一个宿主机的高权限Shell，并拿到宿主机的root权限，可以直接操作宿主机文件。信息泄露路径：http://目标ip:端口/%u002e/WEB-INF/web.xml。信息泄露路径：http://目标ip:端口/%2e/WEB-INF/web.xml。
CVE-2022-30190 漏洞复现
weixin_53884648的博客
11-10 6106
通过exp实现了对微软目前存在的office-word-2016的成功复现
apache-skywalking-apm-es7-8.0.0.tar.gz下载
08-18
要下载apache-skywalking-apm-es7-8.0.0.tar.gz，你可以按照以下步骤进行操作： 第一步，打开你的网络浏览器，进入Apache SkyWalking的官方网站。 第二步，在网站上搜索或导航到下载页面。你可以在网站的顶部或底部找到一个“下载”链接或按钮。 第三步，找到与你需要的版本相匹配的下载链接，即apache-skywalking-apm-es7-8.0.0.tar.gz。根据你使用的操作系统和硬件架构，选择对应的下载链接。 第四步，点击下载链接，开始下载apache-skywalking-apm-es7-8.0.0.tar.gz文件。下载的速度取决于你的网络连接和文件大小。 第五步，等待下载完成。一旦下载完成，你就可以在你的计算机上找到这个文件。在大多数情况下，文件会被保存在你的默认下载目录或你自己设置的目录中。 请注意，下载的文件可能会进行压缩，需要使用压缩工具（如WinRAR或7-Zip）解压缩后才能使用。你还应该检查文件的完整性和安全性，以确保你下载的是经过官方验证的文件。 总结：下载apache-skywalking-apm-es7-8.0.0.tar.gz文件的步骤包括打开官方网站、搜索下载页面、找到对应的下载链接、点击下载并等待完成。最后，解压缩文件并确认文件的完整性和安全性。
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值