1. 漏洞内容 XXL-JOB是一款开源的分布式任务调度平台,用于实现大规模任务的调度和执行。然而,在XXL-JOB的默认配置中,用于调度通讯的accessToken并不是随机生成的,而是使用了application.properties配置文件中的默认值。如果用户没有修改这个默认值,攻击者就可以利用这个默认值在未授权的情况下绕过认证,执行任意代码,从而...
XXL-JOB 默认配置下,用于调度通讯的 accessToken 不是随机生成的,而是使用 application.properties 配置文件中的默认值。在实际使用中如果没有修改默认值,攻击者可利用此绕过认证调用 executor,执行任意代码,从而获取服务器权限。经分析和研判,该漏洞利用难度低,可导致远程代码执行。 漏洞复现 步骤一:在Fofa中搜索以下...
XXL-JOB 是一款开源的分布式任务调度平台,用于实现大规模任务的调度和执行。XXL-JOB 在使用时使用了默认的AccessToken ,攻击者可使用 AccessToken 绕过认证权限,调用 executor,执行任意代码,从而获取服务器权限或者一些不可逆的操作。 项目漏洞处理 分析 【搜索引擎】 当我们拿到一些已知BUG,最简单快捷的方式就是通过搜...
昨天看见微步发布XXL-JOB默认accessToken身份绕过漏洞,之前hw期间遇到过几次,都没弱口令和未授权,对其有点印象,遂复现一下。 漏洞影响:2.3.1和2.4 环境准备: 1、下载即可:https://github.com/xuxueli/xxl-job/releases/tag/2.4.0 将其导入IDEA中,即可进行分析。环境要求:Maven3+、Jdk1.8+、Mysql5.7+ ps:关于...
XXL-JOB是一款开源的分布式任务调度平台,用于实现大规模任务的调度和执行。该漏洞是由于XXL-JOB 在默认配置下,用于调度通讯的 accessToken 不是随机生成的,而是使用 application.properties 配置文件中的默认值,如果用户没有修改该默认值,攻击者可利用此绕过认证调用 executor,执行任意代码,导致远程代码执行。 漏洞影响 ...
0x02 漏洞概述 XXL-JOB 默认配置下,用于调度通讯的 accessToken 不是随机生成的,而是使用 application.properties 配置文件中的默认值。在实际使用中如果没有修改默认值,攻击者可利用此绕过认证调用 executor,执行任意代码,从而获取服务器权限。 0x03 影响版本 ...
xxl-job是一个分布式任务调度平台,其核心设计目标是开发迅速、学习简单、轻量级、易扩展。 xxl-job 在 2.4.0 及之前版本中存在身份绕过漏洞。由于在启动环境时,没有对application.properties文件中的xxl.job.accessToken参数进行修改,导致使用默认accessToken,这可能导致远程代码执行利用。
XXL-JOB是一个分布式任务调度平台,其核心设计目标是开发迅速、学习简单、轻量级、易扩展。 XXL-JOB 在 2.4.0 版本中存在权限管理不当漏洞。经过身份认证的攻击者可以对任意任务所执行的内容进行修改,这可能导致定时任务的内容被修改为恶意命令,服务器被控制。
昨天看见微步发布XXL-JOB默认accessToken身份绕过漏洞,之前hw期间遇到过几次,都没弱口令和未授权,对其有点印象,遂复现一下。 漏洞影响:2.3.1和2.4 FreeBuf之前已经有人分析过了:https://www.freebuf.com/articles/web/253938.html 不知道作者这么就在2.3.1后赋了个默认值 [狗头] 环境准备: 1、下载即可:https...
xxl-job默认accessToken绕过原理 accessToken 本来是为了修复2020年xxl-job执行器executor RESTful API 未授权访问 RCE 漏洞,为了防止其未授权添加了accessToken校验,但是很多人在使用该框架的时候并未修改其默认的值xxl.job.accessToken=default_token,与之前shiro的默认key泄漏导致的RCE原理很相似。