[漏洞复现]Nacos derby注入不出网不落地的内存马利用_alibaba nacos derby复现

作者：小桥流水78 | 2024-08-18 01:44:46

踩

alibaba nacos derby复现

如果觉得该文章有帮助的，麻烦师傅们可以搜索下微信公众号：良月安全。点个关注，感谢师傅们的支持。

前几天暴露了一个所谓的Nacos 0day，但是放出的payload本身限制很多：

所以看起来还是挺鸡肋的。我们内部师傅修改了原来的payload，可以实现不依赖出网，无文件落地，直接类加载注入内存马。

Nacos 是阿里巴巴推出来的一个新开源项目，这是一个更易于构建云原生应用的动态服务发现、配置管理和服务管理平台。用户可通过sql注入实现远程命令执行获取服务器权限。

原始payload大家就自己github上搜就好了，虽然源链接作者删掉了，但是有非常多的fork。

关于工具就在星球内部获取。

声明：本文内容由网友自发贡献，不代表【wpsshop博客】立场，版权归原作者所有，本站不承担相应法律责任。如您发现有侵权的内容，请联系我们。转载请注明出处：https://www.wpsshop.cn/w/小桥流水78/article/detail/995457