记一次代码审计rce测试学习过程

文章预览

文章来源：奇安信攻防社区 链接：https://forum.butian.net/share/3099 作者：中铁13层打工人 nginxWebUI后台提供执行nginx相关命令的接口，由于权限校验不严谨，未严格对用户的输入过滤，导致3.4.7版本之前可远程执行任意命令。本着学习的态度进一步了解该工具存在的漏洞并进行复现与分析 前言 nginxWebUI后台提供执行nginx相关命令的接口，由于权限校验不严谨，未严格对用户的输入过滤，导致3.4.7版本之前可远程执行任意命令。本着学习的态度进一步了解该工具存在的漏洞并进行复现与分析。 关于nginxWebUI nginxWebUI是一款图形化管理nginx配置工具, 可以使用网页来快速配置nginx的各项功能, 包括http协议转发, tcp协议转发, 反向代理, 负载均衡, 静态html服务器, ssl证书自动申请、续签、配置等, 也可管理多个nginx服务器集群, 随时一键切换到对应服务器上进行nginx配置, ………………………………