XXL-JOB 默认 accessToken 身份绕过导致 RCE

0x01 漏洞介绍

XXL-JOB 是一款开源的分布式任务调度平台，用于实现大规模任务的调度和执行。

XXL-JOB 默认配置下，用于调度通讯的accessToken不是随机生成的，而是使用 application.properties 配置文件中的默认值。
在实际使用中如果没有修改默认值，攻击者可利用此绕过认证调用 executor，执行任意代码，从而获取服务器权限。

0x02 影响版本

XXL-JOB <= 2.2.0

0x03 环境搭建

• Maven3+
• Jdk1.8+
• Mysql5.7+
• xxl-job-admin 2.2.0（源码安装）
  安装xxl_job需要以上环境，直接apt安装即可。
  xxl_job官网源码下载地址，下载2.2.0版本：

https://github.com/xuxueli/xxl-job/releases

0x04 漏洞复现

第一步 访问