【网络安全】YApi远程代码执行漏洞

最新推荐文章于 2025-02-27 14:28:04 发布
最新推荐文章于 2025-02-27 14:28:04 发布
阅读量3.4k 收藏
点赞数
CC 4.0 BY-SA版权
分类专栏： 网络安全新手快速入门(附漏洞挖掘案例) 文章标签： web安全 yapi
原创文章，禁止转载，否则保留追究法律责任的权利。
本文链接：https://blog.youkuaiyun.com/2301_77485708/article/details/143954470

原文链接：https://blog.hackall.cn/pentestvuln/761.html

简介

YApi 是高效、易用、功能强大的 api 管理平台，旨在为开发、产品、测试人员提供更优雅的接口管理服务，帮助开发者轻松创建、发布、维护 API。

YApi 还为用户提供了优秀的交互体验，开发人员只需利用平台提供的接口数据写入工具以及简单的点击操作就可以实现接口的管理。

漏洞原理

通过注册账号密码登录后，添加项目→添加接口→高级Mock→脚本→开启脚本→写入代码即可执行

影响范围

<=V1.9.2

漏洞利用

注册账号密码

在这里插入图片描述

登录系统

在这里插入图片描述

添加项目

在这里插入图片描述

添加接口

了解本专栏 订阅专栏 解锁全文 超级会员免费看
【漏洞复现】Yapi接口管理平台RCE漏洞汇总
李同學的安全圈
01-10 7677
YApi 是高效、易用、功能强大的 api 管理平台，旨在为开发、产品、测试人员提供更优雅的接口管理服务。可以帮助开发者轻松创建、发布、维护 API，YApi 还为用户提供了优秀的交互体验，开发人员只需利用平台提供的接口数据写入工具以及简单的点击操作就可以实现接口的管理。
yapi 代码执行
qq_32445755的博客
07-04 1173
YAPI是由去哪儿网移动架构组(简称YMFE，一群由FE、iOS和Android工程师共同组成的最具想象力、创造力和影响力的大前端团队)开发的可视化接口管理工具，是一个可本地部署的、打通前后端及QA的接口管理平台。因为大量用户使用 YAPI的默认配置并允许从外部网络访问YApi服务，导致攻击者注册用户后，即可通过 Mock功能远程执行任意代码。请拿到flag，默认在/tmp/目录中。漏洞复现步骤注册测试账号：注册登录后，创建一个项目,然后选择设置全局的mock脚本点击保存开启添加接口，然后再点击预览可以看到
YApi远程代码执行
嘟的博客
07-09 1017
一、漏洞说明： YApi是由去哪儿网开发开源的可视化平台，YApi 是高效、易用、功能强大的 api 管理平台，旨在为开发、产品、测试人员提供更优雅的接口管理服务。可以帮助开发者轻松创建、发布、维护 API，YApi 还为用户提供了优秀的交互体验，开发人员只需利用平台提供的接口数据写入工具以及简单的点击操作就可以实现接口的管理。 近日，互联网披露了YAPI远程代码执行0day漏洞，该漏洞已在野利用，并正在扩散。攻击者可利用该漏洞实现远程代码执行。建议用户通过临时防护措施缓解该漏洞风险，做好资产自查以及预
七、【漏洞复现】YApi接口管理平台远程代码执行漏洞
weixin_52351575的博客
09-21 780
​YApi接口管理平台存在一种远程代码执行漏洞。攻击者可以在注册并登录YApi后，通过构造特殊的请求来执行任意代码，从而接管服务器。这个漏洞可能会导致严重的安全风险，因此建议用户及时修复漏洞，更新到最新版本的YApi。3、 编辑Yapi目录下的 config.json 文件，设置 closeRegister 为 true，关闭Yapi的前台注册功能。若YApi对外开放注册功能，攻击者可在注册并登录后，通过构造特殊的请求执行任意代码，接管服务器。3.新建接口-接口名称随意-接口路径为/随意。
Yapi RCE 复现和批量编写
y0un9er
07-11 1110
复现了yapi漏洞的利用方式，并完成脚本编写
YAPI Mock远程代码执行漏洞
weixin_51387754的博客
11-08 1169
前言 YAPI接口管理平台是国内某旅行网站的大前端技术中心开源项目，使用mock数据/脚本作为中间交互层，为前端后台开发与测试人员提供更优雅的接口管理服务，该系统被国内较多知名互联网企业使用。 YAPI项目使用mock数据/脚本作为中间交互层，为前端后台开发与测试人员提供更优雅的接口管理服务。其中mock数据通过设定固定数据返回固定内容，对于需要根据用户请求定制化响应内容的情况mock脚本通过写JS脚本的方式处理用户请求参数返回定制化内容，本次漏洞就是发生在mock脚本服务上。由于mock脚本自定义服务未对
Yapi命令执行漏洞复现
MrHatSec的博客
07-28 4169
YApi是高效、易用、功能强大的api管理平台，旨在为开发、产品、测试人员提供更优雅的接口管理服务。可以帮助开发者轻松创建、发布、维护API，YApi还为用户提供了优秀的交互体验，开发人员只需利用平台提供的接口数据写入工具以及简单的点击操作就可以实现接口的管理。...
RCE远程代码执行漏洞
最新发布
yh4494的博客
02-27 1038
“RCE（远程代码执行）漏洞”是指攻击者能够在目标系统上执行任意代码的漏洞，通常通过网络进行远程攻击。RCE 漏洞的危害非常大，攻击者通过这个漏洞可以控制目标机器，获取系统权限，执行恶意命令，甚至窃取敏感数据、植入恶意软件等。
YApi Mock功能远程代码执行漏洞复现
yzl_007的博客
08-06 1208
YApi Mock功能远程代码执行漏洞复现 漏洞描述 API接口管理平台是国内某旅行网站的大前端技术中心开源项目，使用mock数据/脚本作为中间交互层，为前端后台开发与测试人员提供更优雅的接口管理服务，该系统被国内较多知名互联网企业所采用。 YApi 是高效、易用、功能强大的 api 管理平台。但因为大量用户使用 YAPI的默认配置并允许从外部网络访问 YApi服务，导致攻击者注册用户后，即可通过 Mock功能远程执行任意代码。 影响版本 YApi7月7日前版本，即版本<=1.92（后文有说明） 环境
YAPI 安全漏洞问题，一文修复全解决
咻咻ing的专栏
08-09 1031
YApi 是高效、易用、功能强大的 api 管理平台，旨在为开发、产品、测试人员提供更优雅的接口管理服务。可以帮助开发者轻松创建、发布、维护 API，YApi 还为用户提供了优秀的交互体验，开发人员只需利用平台提供的接口数据写入工具以及简单的点击操作就可以实现接口的管理。 目前Yapi在GitHub的关注数有523，Star数21.7k，Fork数3.7k，使用的企业非常广泛，包括阿里巴巴、腾讯、百度、去哪儿等等。 近日，不少用户反映YApi平台存在高危漏洞，攻击者可利用该漏洞在目标服务器上执行任意代码，可
手工SQL注入流程与常用语句_sql注入 手工(2)，34岁网络安全开发大叔感慨
2401_83974173的博客
04-16 998
1’ and (select count(*) from information_schema.tables where table_schema=database() group by concat(0x7e,(select table_name from information_schema.tables where table_schema=database() limit 1,1),0x7e,floor(rand(0)*2)))# 通过修改limit后面数字一个一个爆表。
漏洞复现之YApi接口管理平台远程代码执行
白帽子九一
05-31 1277
1. 简介 YAPI是由去哪儿网移动架构组(简称YMFE，一群由FE、iOS和Android工程师共同组成的最具想象力、创造力和影响力的大前端团队)开发的可视化接口管理工具，是一个可本地部署的、打通前后端及QA的接口管理平台。YAPI旨在为开发、产品和测试人员提供更优雅的接口管理服务，可以帮助开发者轻松创建、发布和维护不同项目，不同平台的API。有了YAPI，我们可以很方便的测试、管理和维护多个项目的API接口，不像Swagger那样是随应用生和灭的(且线上环境下大多数须关闭)，YAPI是一个独立的服务平台
yapi token注入漏洞
whoami
11-21 2812
YApi 是一个可本地部署的可视化的接口管理平台。YApi 在 1.11.0 之前的版本中存在远程代码执行漏洞，因为 base.js 没有正确对 token 参数进行正确过滤，攻击者可通过 MongoDB 注入获取用户 token（包括用户 ID、项目 ID 等），进而使用自动化测试 API 接口写入待命命令，利用沙箱逃逸触发命令执行。
【漏洞复现】YApi接口管理平台远程代码执行漏洞（含批量POC）
Adminxe的博客
07-11 1156
0x00简介 YAPI是由去哪儿网移动架构组(简称YMFE，一群由FE、iOS和Android工程师共同组成的最具想象力、创造力和影响力的大前端团队)开发的可视化接口管理工具，是一个可本地部署的、打通前后端及QA的接口管理平台。YAPI旨在为开发、产品和测试人员提供更优雅的接口管理服务，可以帮助开发者轻松创建、发布和维护不同项目，不同平台的API。有了YAPI，我们可以很方便的测试、管理和维护多个项目的API接口，不像Swagger那样是随应用生和灭的(且线上环境下大多数须关闭)，YAPI是一个独立..
漏洞复现----34、yapi 远程命令执行漏洞
七天
06-24 1957
Yapi远程命令执行漏洞
YAPI接口管理平台RCE漏洞排查
dayouzi的博客
08-14 1187
Yapi 是高效、易用、功能强大的 api 管理平台，旨在为开发、产品、测试人员提供更优雅的接口管理服务。可以帮助开发者轻松创建、发布、维护 API，YApi 还为用户提供了优秀的交互体验，开发人员只需利用平台提供的接口数据写入工具以及简单的点击操作就可以实现接口的管理。攻击者通过注册用户，并使用 Mock 功能实现远程命令执行。命令执行的原理是 Node.js 通过 require(‘vm’) 来构建沙箱环境，而攻击者可以通过原型链改变沙箱环境运行的上下文，从而达到沙箱逃逸的效果。
YApi远程命令执行漏洞详解与修复
"该文档分析了YApi的远程命令执行漏洞，主要涉及1.12.0以下版本，包括漏洞的概述、环境搭建、漏洞分析和补丁分析等环节。攻击者可以利用MongoDB的盲注漏洞获取项目token，枚举用户uid生成API调用凭证，进一步利用...
评论
成就一亿技术人!
拼手气红包6.0元
还能输入1000个字符
 
红包 添加红包
表情包 插入表情
表情包 代码片
 条评论被折叠 查看
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

秋说

感谢打赏

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值