XXL-JOB默认accessToken身份绕过漏洞详解 1. 漏洞内容 XXL-JOB是一款开源的分布式任务调度平台,用于实现大规模任务的调度和执行。然而,在XXL-JOB的默认配置中,用于调度通讯的accessToken并不是随机生成的,而是使用了application.properties配置文件中的默认值。如果用户没有修改这个默认值,攻击者就可以利用这个默认值在未...
昨天看见微步发布XXL-JOB默认accessToken身份绕过漏洞,之前hw期间遇到过几次,都没弱口令和未授权,对其有点印象,遂复现一下。 漏洞影响:2.3.1和2.4 环境准备: 1、下载即可:https://github.com/xuxueli/xxl-job/releases/tag/2.4.0 将其导入IDEA中,即可进行分析。环境要求:Maven3+、Jdk1.8+、Mysql5.7+ ps:关于...
CodeQL=Code Query Language 和SQL相似,分析引擎在分析完代码后会生成一个类似DB的文件夹Snapshot Database,里面的文件全是源代码和关系数据,接下来我们通过输入QL语句也就是queries规则可以查到XXL-JOB默认accessToken命令执行的漏洞点,然后对其进行分析。 xxl-job默认accessToken绕过原理 accessToken 本来是为了修复2020...
该漏洞是由于XXL-JOB在默认配置下,用于调度通信的accessToken不是随机生成的,而是使用application.properties配置文件中的默认值,如果用户没有修改该默认值,攻击者可利用此绕过认证调用 executor,执行任意代码,导致远程代码执行。 当然仅仅是没有修改默认accessToken并不能形成RCE的条件,远程访问需要host加port,默认是9999(...
今天就关于AccessToken权限绕过漏洞做一些处理。XXL-JOB 是一款开源的分布式任务调度平台,用于实现大规模任务的调度和执行。XXL-JOB 在使用时使用了默认的AccessToken ,攻击者可使用 AccessToken 绕过认证权限,调用 executor,执行任意代码,从而获取服务器权限或者一些不可逆的操作。
id: xxl-job-executor-default-accesstoken-rce info: name: XXL-JOB默认accessToken身份绕过RCE author: wuha severity: high description: XXL-JOB 默认 accessToken 身份绕过,可导致 RCE metadata: max-request: 1 verified: true fofa-query: app="XXL-JOB" tags: xxl-job,rce variables: randjobid: "{...
存在漏洞: 五:修复建议 当前官方已发布修复建议,建议受影响的用户及时修改调度中心和执行器配置项 xxl.job.accessToken 的默认值。官方文档链接如下: https://www.xuxueli.com/xxl-job/#5.10%20%E8%AE%BF%E9%97%AE%E4%BB%A4%E7%89%8C%EF%BC%88AccessToken%EF%BC%89 ...
xxl-job默认accessToken绕过原理 accessToken 本来是为了修复2020年xxl-job执行器executor RESTful API 未授权访问 RCE 漏洞,为了防止其未授权添加了accessToken校验,但是很多人在使用该框架的时候并未修改其默认的值xxl.job.accessToken=default_token,与之前shiro的默认key泄漏导致的RCE原理很相似。
首先看预警信息首先提取关键词：accessToken 默认、在 application.properties 中配置、绕过认证调用 executor接下来我们去 xxl-job 的官方仓库找这个文件该文件有多个但内容一致，这里选择 xxl-job-admin 下的为例。我们能看到 application.properties 中 accessToken 确实有个配置项，其值就为 default_token。因为 ...
昨天看见微步发布XXL-JOB默认accessToken身份绕过漏洞,之前hw期间遇到过几次,都没弱口令和未授权,对其有点印象,遂复现一下。 漏洞影响:2.3.1和2.4 FreeBuf之前已经有人分析过了:https://www.freebuf.com/articles/web/253938.html 不知道作者这么就在2.3.1后赋了个默认值 [狗头] 环境准备: 1、下载即可:https...