通用远程执行js代码

CVE-2025-68613漏洞分析:n8n远程代码执行风险与防护 远程代码执行(RCE)漏洞是Web安全领域的重大威胁,攻击者通过注入恶意代码可在服务器上执行任意命令。这类漏洞通常源于对用户输入缺乏严格隔离,如未正确实现沙箱机制。以Node.js环境为例,require()等核心API若暴露给用户输入,极易导致系统级权限被获取。n8n作为流行的开源工作流自动化工具,其CVE-2025-68613漏洞正是由于Function节点未隔离Node.js原生环境所致,攻击者仅需普通用户权限即可完成沙箱逃逸。在自动化办公场景中,此类漏洞可能被钓鱼攻击利用,造成企业数据泄露或系统瘫痪 阅读详情

github地址

https://github.com/ice-a/remote_run_js_code

Remote JavaScript Code Runner

这是一个用于远程执行JavaScript代码的后端服务。

功能特点

  • 远程执行JavaScript代码
  • 安全的代码执行环境(使用vm2)
  • RESTful API接口
  • 支持文件上传

安装步骤

  1. 克隆项目:

    git clone [repository-url]
    cd remote_run_js_code
    
  2. 安装依赖:

    npm install
    

使用方法

开发环境

npm run dev

生产环境

npm start

Docker部署

docker build -t remote-js-runner .
docker run -p 3000:3000 remote-js-runner

项目结构

├── server.js          # 主服务器文件
├── public/            # 静态文件
├── uploads/           # 上传文件目录
└── package.json       # 项目配置文件

依赖项

  • express: Web服务器框架
  • multer: 文件上传中间件
  • vm2: 安全的代码执行环境
  • nodemon: 开发环境自动重启(dev依赖)

API接口

1. 上传文件执行

  • 端点:POST /execute
  • 参数:文件上传,字段名为file
  • 返回:{"result": 执行结果} 或 {"error": "错误信息"}

2. 直接执行代码

  • 端点:POST /execute-code
  • 参数:JSON格式 {"code": "JavaScript代码字符串"}
  • 返回:{"result": 执行结果} 或 {"error": "错误信息"}

Python调用示例

在examples/python_client.py中提供了完整的Python调用示例代码,包括:

  • 通过代码字符串执行JavaScript
  • 通过文件上传执行JavaScript

使用前请确保安装了requests库:

pip install requests

执行结果

执行结果

测试代码示例

以下是一个简单的测试代码示例:

// 筛选数组中的元素
function solution(arr) {
    let answer = []
    let min = 1;
    return answer = arr.filter((v) => v !== min);
}

solution([4,9,2,22])

执行结果:

在这里插入图片描述

注意事项

  • 确保Node.js版本 >= 18.0.0
  • 生产环境部署时注意配置安全策略
  • 建议设置代码执行超时限制
Electron 安全指南:防止远程代码执行与提升应用安全性 Electron 提供了强大的能力,但也需要开发者承担更多的安全责任。禁用不必要的 API(如 nodeIntegration)使用 contextIsolation + preload 限制权限暴露避免加载远程内容校验 IPC 通信与外部输入。 阅读详情

相关推荐

JAVA在服务器后端直接运行JavaScript方法

在服务器后端,直接运行JavaScript方法。 使用JAVA来运行已有的JavaScript方法,可以只运行一小段js代码,也可以运行一个js的方法,而你可以不用关心js内部的方法是怎么实现的,只是js是可以运行的,拿到java上也可以运行。 注意不能运行页面元素的相关属性级方法(window,page,document等),如document.getElementByID()之类的方法都会报错的

JS实现远程请求

XMLHttpRequest 用于在后台与服务器交换数据。支持的数据类型:所有类型的数据资源,并不局限于 XML。XMLHttpRequest 支持的协议:HTTP,file,FTP。

myli92的博客 500

深入Android构建系统:一次修改ro.vendor.build.fingerprint失败的排查与解决记录

本文深入探讨了Android构建系统中修改ro.vendor.build.fingerprint的完整解决方案。通过分析vendor分区的特殊地位和构建指纹的生成路径,提供了三种实战修改方法,并揭示了指纹修改可能遇到的陷阱与对策,帮助开发者彻底解决这一常见问题。

weixin_30621711的博客 144

jsrpc-http接口远程调用js代码

JsRPC-hliang – js逆向之远程调用(rpc)免去抠代码补环境 tip:懒得自己编译的 ,releases中有已经编译好的包 (win和Linux的都有~) 文章目录JsRPC-hliang目录结构基本介绍实现食用方法打开编译好的文件,开启服务注入JS,构建通信环境注入ws与方法远程调用1:无参获取值远程调用2:带参获取值远程调用3:带多个参获 并且使用post方式 取值食用案例-爱锭网15题TODO 目录结构 -- main.go (服务器的主代码) -- resouces/JsEnv.j

此用户太懒,没有介绍 2584

Windows服务器XMRig挖矿病毒深度清除实战指南

XMRig是一种广泛用于Monero(XMR)加密货币挖矿的开源工具,其在Windows环境中的持久化机制已远超传统木马范畴,融合WMI事件订阅、服务伪装、PowerShell无文件执行与注册表隐写等多重反检测技术。理解其基于行为而非特征的生存逻辑,是实现有效检测与根除的前提。该技术具备强隐蔽性、高自愈性与网络通信合法化特征,常见于RDP弱口令爆破、SMB共享泄露及PowerShell远程执行等非漏洞类入侵场景。本文聚焦Windows原生命令与Sysinternals工具链,提供覆盖进程定位、WMI清理、服

weixin_30535843的博客 733

智能检查点优化:动态频率与差异化存储的断点续训实践(模型训练丨容错机制丨人工智能)

本文深入探讨了大规模模型训练中智能检查点优化的核心实践。针对传统固定频率保存导致的存储浪费与恢复缓慢问题,提出了基于损失变化率的动态频率算法与分层差异化存储策略。通过PyTorch代码示例,详细展示了如何实现动态调度与增量保存,有效降低存储成本,并确保训练中断后能快速、可靠地恢复,显著提升训练任务的容错能力与经济效益。

weixin_29072299的博客 334

如何直接执行js代码

我们常见的执行js代码都是放入到HTML引入后然后通过HTML文件来执行胡查看代码,显然这是比较麻烦的事情, 如果你的电脑里面安装了node.js,你可以使用node来直接使用node来运行你想要运行的js文件, 具体的操作如图所示:操作为:node 你所要执行的代码文件   例如我执行的是nodeshow.js文件 我的执行命令就是node nodeshow.js

shaleilei的博客 6万+

招标信息爬取工具

一个能帮你节省大量时间的实用小工具,我自己用了挺久,分享出来给有需要的朋友

qq_56877290的博客 837

Node.js 反序列化漏洞远程执行代码(CVE-2017-5941)

2 Node.js 反序列化漏洞远程执行代码(CVE-2017-5941) 2.1 摘要 2.1.1 漏洞介绍 漏洞名称: Exploiting Node.js deserialization bug for Remote Code Execution 漏洞CVE id: CVE-2017-594 漏洞类型: 代码执行 Node.js存在反序列化远程代码执行漏洞,若不可信的数据传入un...

acn19249的博客 1175

Tableau学习教程(万字保姆级教程)​​​​​​

​Tableau学习教程(保姆级教材,学不会私信留言来找我) 从BI系统开发的角度来学习tableau工具,更学会报表开发的流程 内含学习使用数据源,tableau打包工作簿,可直接提取使用 ​...

小菜菜的博客 6万+

sphincs+ Nist Round3文档中文译版(SPHINCS+ Submission to the NIST post-quantum project, v.3)

1. 引言 哈希基础签名方案最初是由Lamport [14]在1970年代后期作为一次性签名方案开发的,并由Merkle [16]扩展为多次签名方案。这些方案的安全性易于分析,并仅依赖于所使用的哈希函数的属性。然而,Merkle基于树的签名方案需要在密钥生成时就确定要进行签名的数量,且为了保持性能这个数字要小。最重要的是,该系统需要用户记住一个状态:这个状态包含一些信息以记住密钥已经进行了多少次签名。 在Lamport方案诞生后的40年里,产生了许多想法改进了哈希基础签名的性能、实用性和理论基础,最终XMS

dedanddwb的博客 395

RCE(远程代码执行)漏洞基础详细篇

摘要 RCE(远程代码执行)是一种高危网络安全漏洞,允许攻击者在目标系统上执行任意恶意代码,可能导致系统被完全控制。PHP是RCE漏洞高发语言,主要因灵活语法和历史遗留问题。常见漏洞包括:eval()执行字符串代码、assert()在旧版本中执行字符串、preg_replace()的/e修饰符执行替换代码、create_function()内部使用eval(),以及命令执行类函数如system()和exec()未过滤用户输入导致命令注入。防御核心在于严格验证用户输入,避免直接拼接或执行外部数据。RCE危害极

yihan小白的博客 802

【FPGA教程案例100】深度学习1——基于CNN卷积神经网络的手写数字识别纯Verilog实现,使用mnist手写数字数据库

MNIST 数据库有一个 60,000 示例的训练集,还有一个 10,000 示例的测试集。这些数字已在大小方面规范化,在固定大小的图像中居中。如下图所示:我们任意选择0~9是个数字,将其转化为数字:0_0.txt1_0.txt2_0.txt3_0.txt4_0.txt5_0.txt6_0.txt7_0.txt8_0.txt9_0.txt。

FPGA/MATLAB学习教程/源码/项目合作开发 7831

在IDEA下远程调试JavaScript

<br />谈 起JavaScript调试,大家可能想到的就是FireFox下的FireBug,这毫无疑问,FireBug基本已经成为JavaScript开发人 员的必备工具。在本文中,将向大家介绍如何在IDEA下远程调试JavaScript,毕竟能在IDE工具中直接设置断点,进行调试,这还是非常诱人的。<br />        首先我们要给FireFox安装一个插件,该插件由IntelliJ IDEA的开发工程师开发,安装目录为%IDEA_HOME%/plugins/JavaScriptDeb

我的JAVA快乐生活 1万+

重回童年的经典系列☀️| 【坦克大战3D版】游戏制作+解析

带你重回童年的经典系列——坦克大战3D版制作,感兴趣的可以看看呀~

努力前行,总会成为自己心中的那道光 5万+

霍尼韦尔SoftMaster使用说明

霍尼韦尔SoftMaster使用说明

探索远程代码执行的奥秘:一个基于JavaScript的创新工具

探索远程代码执行的奥秘:一个基于JavaScript的创新工具 在编程的世界里,能够快速测试和验证代码片段的能力至关重要。今天,我们为您介绍一款集前端交互魅力与后端实力于一身的开源项目——远程代码执行应用,由JavaScript(React, NodeJS & Express)匠心打造。这个项目的灵魂在于,它让开发者能够像在HackerRank或竞赛编码网站上一样,随时随地在线编写并立即看...

gitblog_00006的博客 345

SIMATIC S7-1200, S7-1500 PID 控制[手册]

SIMATIC S7-1200, S7-1500 PID 控制[手册]

远程代码执行环境项目常见问题解决方案

远程代码执行环境项目常见问题解决方案 项目基础介绍和主要编程语言 项目名称: 远程代码执行环境 项目简介: 该项目是一个模拟竞争编程网站(如LeetCode)的远程代码执行环境的实现。用户可以编写代码,代码会在服务器上执行,并将结果返回给用户。项目使用了JavaScript(React、Node.js和Express)来构建前端和后端。 主要编程语言: JavaScript (React, No...

gitblog_00199的博客 782

IDEA的使用指南

IDEA基于java的使用手册,可以最快速的上手,在使用中不断的丰富自己的使用技巧.

蓝牙模块HM-10手册

蓝牙模块HM-10手册,该手册对蓝牙模块HM-10进行了详细的介绍和使用方法以及一些AT指令。

React与Next.js中的关键RSC漏洞使服务器面临远程代码执行风险

12月3日,React基金会针对React服务器组件(RSC)中一个被列为CVE-2025-55182的关键漏洞发布紧急公告,该漏洞获得CVSS最高严重性评分10分。该漏洞由安全研究员Lachlan Davidson于11月29日报告,影响react-server-dom-webpack、react-server-dom-parcel和react-server-dom-turbopack这三个核心包的19.0、19.1.0、19.1.1及19.2.0版本。

心雨楼 1243

远程代码执行环境项目教程

远程代码执行环境项目教程 1. 项目介绍 remote-code-execution-environment 是一个用于模拟远程代码执行环境的应用,主要使用 JavaScript (React, NodeJS & Express) 构建。该项目旨在帮助开发者理解如何在类似 HackerRank 或 LeetCode 这样的竞争编程网站上实现代码的远程执行。用户可以编写代码,然后代码会在服务...

gitblog_01166的博客 325

Android WebView远程执行代码漏洞浅析

在过去的一段时间里,WebView远程代码执行漏洞可以说是横扫了一大批的Android App,查询Wooyun平台可以得到大致的情况,鉴于很多存在漏洞的App并没有披露,因此WebVeiw远程执行代码漏洞的影响程度会更大。由于Google Android 系统碎片化程度很高,大量的Android系统无法得到及时有效地更新,这个漏洞目前依然在被利用。 本文从WebView的概念开始详细介

fengling59的专栏 3320

[Cocos Creator] 加载远程代码

// 加载代码 let url = "http://远程域名或ip地址/路径/TestRemote.js"; cc.loader.load(url, (err, res) => { if (err) { console.error(err); } else { // 1. 普通函数可以直接调用 Print("Hello World"); // 2. 继承cc.Component的类 let clsNam.

GrimRaider的专栏 1520

Android WebView 远程代码执行漏洞

Android的SDK中提供了的WebView组件,用于在应用中嵌入一个浏览器来进行网页浏览。 WebView组件中的addJavascriptInterface方法可以用于实现本地Java和JavaScript的交互。但是这个方法存在远程代码执行漏洞,远程攻击者利用此漏洞能实现本地java和js的交互,可对Android移动终端进行网页挂马从而控制受影响设备。

bihansheng2010的博客 9510

在vue 中优雅的引入远程js,远程css

在vue里引用远程js以及样式的问题解决方案(支持多个js,css引入) Vue.component('remote-res', { data() { return { loaded: false }; }, render(...

qq_23668595的博客 2439

CVE-2025-66478 Next.js 远程代码执行漏洞

摘要: CVE-2025-66478是Next.js框架(15.x/16.x版本)因依赖存在缺陷的React服务端DOM包导致的高危远程代码执行漏洞(CVSS 10.0)。攻击者通过构造恶意Flight Payload发送至Next.js服务端,利用React对序列化数据验证不严的缺陷,触发反序列化漏洞执行任意代码,无需认证即可实现RCE(文件读写、命令执行等)。目前已有公开PoC,官方建议升级至Next.js 15.0.5+/16.0.7或更新版本修复漏洞。

大河之犬的博客 4519

vue 引用远程js_vue动态加载远程js完美实践

其实vue加载远程js的教程很多,但是我比较笨呐。。。用不出来,每次都报方法/属性不存在的错误,来看一下典型的写法:const s = document.createElement('script');s.type = 'text/javascript';s.src = '';document.body.appendChild(s);如果这个能满足你们的需求就不需要看下面了。其实现在我想做到的是j...

weixin_31477251的博客 2939

Flask 应用中执行指定 JavaScript 脚本

本文总结了在Flask应用中执行JavaScript脚本的六种核心方法:1)静态JS文件引入,2)外部CDN脚本加载,3)动态数据传递(模板变量嵌入和API接口),4)函数触发(事件绑定、AJAX回调和WebSocket),5)前端框架集成,6)注意事项与方案选择建议。文中详细说明了每种技术的实现方式、适用场景及安全考量,并提供了典型代码示例。针对不同需求(静态加载、动态交互、实时响应等),给出了对应的推荐方案和技术组合建议,强调应根据项目需求选择安全且可维护的实现方式。

MrLi的博客 1009
上一篇: API QPS 限流服务
下一篇: 基于vad对音频进行切割
评论
成就一亿技术人!
拼手气红包6.0元
还能输入1000个字符
 
 条评论被折叠 查看
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付:10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明:

1.余额是钱包充值的虚拟货币,按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载,可以购买VIP、付费专栏及课程。

余额充值