利用Vulnhub复现漏洞 - AppWeb认证绕过漏洞（CVE-2018-8715）

最新推荐文章于 2025-06-09 16:42:37 发布

建瓯最坏

最新推荐文章于 2025-06-09 16:42:37 发布

阅读量1.1k

点赞数 1

CC 4.0 BY-SA版权

分类专栏：渗透文章标签： Vulnhub

本文链接：https://blog.youkuaiyun.com/JiangBuLiu/article/details/93876274

本文详细介绍了如何复现Vulhub上的AppWeb认证绕过漏洞（CVE-2018-8715）。通过理解漏洞原理，设置漏洞环境，利用BurpSuite，以及处理不知名的Burp问题，演示了如何通过不传递密码直接获取session并访问受限页面。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

AppWeb认证绕过漏洞（CVE-2018-8715）

Vulnhub官方复现教程

https://vulhub.org/#/environments/appweb/CVE-2018-8715/

漏洞原理

AppWeb是Embedthis Software LLC公司负责开发维护的一个基于GPL开源协议的嵌入式Web Server。他使用C/C++来编写，能够运行在几乎先进所有流行的操作系统上。当然他最主要的应用场景还是为嵌入式设备提供Web Application容器。

AppWeb可以进行认证配置，其认证方式包括以下三种：

basic 传统HTTP基础认证
digest 改进版HTTP基础认证，认证成功后将使用Cookie来保存状态，而不用再传递Authorization头
form 表单认证

其7.0.3之前的版本中，对于digest和form两种认证方式，如果用户传入的密码为null（也就是没有传递密码参数），appweb将因为一个逻辑错误导致直接认证成功，并返回session。

参考链接：

https://ssd-disclosure.com/index.php/archives/3676
https://github.com/embedthis/appweb/issues/610

漏洞环境

最低0.47元/天解锁文章

200万优质内容无限畅学

确定要放弃本次机会？

福利倒计时

: :

立减 ¥

普通VIP年卡可用

立即使用

建瓯最坏

关注关注

1
点赞
踩
3

收藏

觉得还不错? 一键收藏
0
评论
分享

复制链接

分享到 QQ

分享到新浪微博

扫一扫
举报

举报

专栏目录

[网络安全自学篇] 八十三.WHUCTF之CSS注入、越权、csrf-token窃取及XSS总结

杨秀璋的专栏

06-09

1万+

这是作者网络安全自学教程系列，主要是关于安全工具和实践操作的在线笔记，特分享出来与博友们学习，希望您喜欢，一起进步。前文分享了WHUCTF隐写和逆向题目，包括文字解密、图片解密、佛语解码、冰蝎流量分析、逆向分析。这篇文章将详细讲解一道CSS注入题目，包括CSS注入、越权、csrf-token窃取及CSP绕过，同时总结XSS绕过知识，希望对您有所帮助。第一次参加CTF，还是学到了很多东西。人生路上，要珍惜好每一天与家人陪伴的日子。感谢武汉大学，感谢这些大佬和师傅们（尤其出题和解题的老师们）~

Appweb(CVE-2018-8715)漏洞复现

战神/calmness的博客

05-30

2536

Appweb简介 Appweb是一个嵌入式HTTP Web服务器，主要的设计思路是安全。这是直接集成到客户的应用和设备，便于开发和部署基于Web的应用程序和设备。它迅速（每秒处理3500多要求）而紧凑，其中包括支持动态网页制作，服务器端嵌入式脚本过程中的CGI ，可加载模块的SSL ，摘要式身份验证，虚拟主机， Apache样式配置，日志记录，单和多线程应用程序。它提供了大量的文档和示例。 A...

参与评论您还未登录，请先登录后发表或查看评论

AppWeb认证绕过漏洞（CVE-2018-8715）

苏莫

07-17

2181

AppWeb认证绕过漏洞（CVE-2018-8715）原理 AppWeb可以进行认证配置，其认证方式包括以下三种： basic 传统HTTP基础认证 digest 改进版HTTP基础认证，认证成功后将使用Cookie来保存状态，而不用再传递Authorization头 form 表单认证其7.0.3之前的版本中，对于digest和form两种认证方式，如果用户传入的密码为null（也就是没...

vulhub漏洞复现系列之appweb认证绕过漏洞(CVE-2018-8715)

weixin_43071873的博客

12-08

687

简介： AppWeb是Embedthis Software LLC公司负责开发维护的一个基于GPL开源协议的嵌入式Web Server。他使用C/C++来编写，能够运行在几乎先进所有流行的操作系统上。当然他最主要的应用场景还是为嵌入式设备提供Web Application容器。 AppWeb可以进行认证配置，其认证方式包括以下三种： 1、basic 传统HTTP基础认证 2、digest 改进版HTTP基础认证，认证成功后将使用Cookie来保存状态，而不用再传递Authorization头 3、form

CVE-2018-1000861源码分析与漏洞复现(Jenkins 远程代码执行)

最新发布

spinage的博客

06-09

1249

**摘要：CVE-2018-1000861是Jenkins中一个高危RCE漏洞，源于Stapler框架动态路由缺陷与Groovy沙箱绕过问题组合。攻击者通过构造恶意URL可绕过权限校验，在未授权情况下执行任意命令。漏洞影响Jenkins主版本≤2.138.1和LTS版本≤2.150.1，CVSS评分9.8。修复方案包括升级至安全版本或实施网络层防护措施。该漏洞揭示了框架级安全风险和编译阶段攻击面的重要性，强调了纵深防御的必要性。

AppWeb认证绕过漏洞（CVE-2018-8715）复现

weixin_44253823的博客

11-01

448

Appweb在7.0.3之前的版本中，对于digest和form两种认证方式，如果用户传入空密码，appweb将因为一个逻辑错误导致直接认证成功，并返回session。漏洞复现启动漏洞环境。在浏览器端访问测试目标地址，在burp suite抓包改包重放。转发修改后的包，访问浏览器，导致空密码登录成功。 ...

AppWeb认证绕过漏洞（CVE-2018-8715）漏洞复现

m0_58596609的博客

02-15

3296

AppWeb认证绕过漏洞（CVE-2018-8715）漏洞复现

CVE-2019-9193（高权限远程命令执行漏洞）vulhub复现

qq_52279315的博客

05-17

1065

vulhub靶场复现【postgresql】

利用Vulnhub复现漏洞 - Electron WebPreferences 远程命令执行漏洞（CVE-2018-15685）

JiangBuLiu的博客

07-03

1222

Electron WebPreferences 远程命令执行漏洞（CVE-2018-15685）Vulnhub官方复现教程漏洞原理复现漏洞启动环境漏洞复现 Vulnhub官方复现教程 https://github.com/vulhub/vulhub/blob/master/electron/CVE-2018-15685/README.zh-cn.md 漏洞原理 Electron是由Github开发...

struts2 CVE-2020-17530漏洞复现

Armandhe的博客

06-08

1009

我丝毫不敢休息，又肝了一篇

Vulhub靶场

blalaa的博客

09-05

1877

【Django JSONField/HStoreField SQL 注入漏洞】 ①原理 Django是一款广为流行的开源web框架，由Python编写，许多网站和app都基于Django开发。其支持很多数据库引擎，包括Postgresql、Mysql、Oracle、Sqlite3等，但与Django天生为一对儿的数据库莫过于Postgresql了，Django官方也建议配合Postgresql一起使用。在Django中支持Postgresql的数据类型：JSONField、HStoreField、Arr

CVE-2023-21839 【vulhub weblogic 漏洞复现】

weixin_65722679的博客

07-05

929

CVE-2023-21839 【vulhub weblogic 漏洞复现】

vulhub靶场Webmin(CVE-2019-15107)漏洞复现

weixin_45095113的博客

12-12

955

Webmin(CVE-2019-15107)漏洞复现

【漏洞复现】Next.js 中间件认证绕过漏洞（CVE-2025-29927）漏洞复现

qinjilll的博客

03-24

2096

Next.js 是由 Vercel 开发的基于 React 的现代 Web 应用框架，具备前后端一体的开发能力，提供服务器端渲染、静态网站生成和集成路由系统等功能。

CVE-2018-8715

山兔的博客

07-28

523

AppWeb 是一个嵌入式 Web 服务器，基于由 Embedthis Software LLC 开发和维护的开源 GPL 协议。它是用 C/C++ 编写的，几乎可以在任何现代操作系统上运行。当然，它的作用是为嵌入式设备提供一个 Web 应用程序容器。AppWeb可以配置认证，包括以下三种认证方式：basic：传统HTTP基本认证digest：改进版HTTP基础认证，认证成功后将使用Cookie来保存状态，而不用再传递Authorization头form：基于 HTML 的表单身份验证。

cve-2018-8715

qq_53086690的博客

11-30

2418

目录appweb 认证绕过（cve-2018-8715）appweb简介漏洞影响版本漏洞概述漏洞复现公众号 appweb 认证绕过（cve-2018-8715） appweb简介 Appweb是一个嵌入式HTTP Web服务器，主要的设计思路是安全。这是直接集成到客户的应用和设备，便于开发和部署基于Web的应用程序和设备。它迅速（每秒处理3500多要求）而紧凑，其中包括支持动态网页制作，服务器端嵌入式脚本过程中的CGI ，可加载模块的SSL ，摘要式身份验证，虚拟主机， Apache样式配置，日志记

【vulhub】AppWeb认证绕过漏洞（CVE-2018-8715）

qq_45300786的博客

09-13

342

这里只是一个认证绕过，认证后的利用楼主也不是很清楚。就这样吧，以后有想法了，再更新 Appweb(CVE-2018-8715)漏洞复现与思考 AppWeb认证绕过漏洞（CVE-2018-8715）

[AppWeb]CVE-2018-8715

qq_43801002的博客

04-27

336

#可以实现无密码登录背景 Appweb是一个嵌入式HTTP Web服务器，主要的设计思路是安全。这是直接集成到客户的应用和设备，便于开发和部署基于Web的应用程序和设备。它迅速（每秒处理3500多要求）而紧凑，其中包括支持动态网页制作，服务器端嵌入式脚本过程中的CGI ，可加载模块的SSL ，摘要式身份验证，虚拟主机， Apache样式配置，日志记录，单和多线程应用程序。它提供了大量的文档和...