NACOS RCE 0day POC分析及复现

发布于2024年7月16日2025年7月19日作者:cve-20

NACOS RCE 0day POC分析及复现

哈拉少安全小队 2024-07-15 20:12

免责声明：请勿将本项目技术或代码应用在恶意软件制作、软件著作权/知识产权盗取或不当牟利等非法用途中。
本项目提及的技术仅可用于私人学习测试等合法场景中，任何不当利用该技术所造成的刑事、民事责任均与本项目作者无关。

资产测绘

当前总计13w资产，请自行判断可利用版本：nacos2.3.2-2.4.0

POC分析

从github拿到代码后可以看到漏洞利用代码exp.py使用Python写的，并且试图通过urljoin函数构造两个URL：一个用于数据移除，另一个用于Derby数据库。为了防止配置信息冲突，此处进行数据移除：
移除后进行derby_url配置：urljoin是Python标准库urllib.parse模块中的一个函数，它用于将两个或多个部分（通常是字符串）组合成一个完整的URL。并且对其中传入的参数分析发现代码是用于执行数据库操作的SQL脚本。这些脚本被用在Nacos作为服务注册中心的Derby数据库配置：

•post_sql：首先调用sqlj.install_jar方法安装一个jar包，并调用SYSCS_UTIL.SYSCS_SET_DATABASE_PROPERTY方法设置数据库属性。然后，它创建一个名为S_EXAMPLE_{id}的函数，该函数接受一个参数并返回一个字符串。
•option_sql：在更新数据库中ROLES表中的数据，只保留角色为’1’的记录。这里的条件是ROLE=’1′ AND ROLE=S_EXAMPLE_{id}({cmd})，意味着只有当角色为’1’且角色等于之前创建的函数S_EXAMPLE_{id}执行的结果时，记录才会被保留。
•get_sql：最终在config_info表中查询数据，并返回两个字段：一个计数字段b和一个名为a的字段，该字段的值由S_EXAMPLE_{id}函数执行得到。

接着对service.py分析，在脚本中发现其payload传入的是一个base64编码的字符串，这个编码的字符串被解码为二进制数据，我们需要对这个payload后的内容解码并且拿到最终传入的内容是什么：
解码后作为jar包对其进行分析，分析结果如下：jar使用了一个公共静态方法来接受一个字符串参数（cmd），表示要执行的命令。创建一个StringBuffer对象用于存储命令的输出，并且检查操作系统名称来判断系统使用了那种字符集（UTF-8或GBK）。再使用Runtime.getRuntime().exec(cmd);执行的命令，返回一个对象，最后从进程的输入流中获取输出，并使用InputStreamReader和BufferedReader来逐行读取和解析输出：
并且还发现这个脚本导入了一个config文件，是在本地创建一个http服务来提供我们利用的jar包的下载地址：

因此我们可以知道整体利用为：我们使用exp.py来加载远程的service.py放置的远程jar包，并使用Derby数据库中的执行命令去执行jar包中的命令。