DNS劫持拿站提权

Public

无法加入？ @sejfoedsg

11.5k 成员

已更新: May 14, 2026 at 12:41 AM

DNS劫持拿站提权

@sejfoedsg is a growing community focused on 安全工具 (Hacking Tools) and related topics

排名

全球排名

#456

语言排名

#45

类别排名

#23

-1

订阅者增长 (过去 11 天)

总计: 11.5K

24 小时增长: +0 0%

最新帖子

DNS劫持拿站提权

2026年5月25日 06:21

虽然说没法发现通用的漏洞，但是对于现在这个场景来说正好是绝配，我们可以将目标原始的鉴权代码抠出来，然后在未授权通过的时候抛出一个异常即可。构建的 Test Harness 代码如下:
其中精简了一些泛微代码中读取配置相关的依赖，将无关的逻辑进行手动剔除。

编译好代码后，使用以下命令开始进行 fuzz:
渗透后台权限，数据库，服务器
海内外网站，APP 脚本破解定制
鱼游渗透，在线接单中
实力靠谱
需要联系： https://t.me/heiwang01

DNS劫持拿站提权

2026年5月25日 06:21

Service 鉴权
现在漏洞点找到了，触发路径也找到了，可实际测试的时候发现这个接口有些特殊的鉴权，其鉴权逻辑为判断请求地址是否是内网地址，如果是的话就放行。

考虑到很多系统是集群部署的，且前面有一层或者多层负载均衡，因此实际请求服务的可能是经过反向代理的请求，此时客户端的真实 IP 只能通过 X-Forward-For 等头部获取。

这本来无可厚非，但是 HTTP 请求头是可以被攻击者任意设置的，因此泛微在此基础上进行了复杂的过滤，精简后的伪代码如下:
渗透后台权限，数据库，服务器
海内外网站，APP 脚本破解定制
鱼游渗透，在线接单中
实力靠谱
需要联系： https://t.me/heiwang01

DNS劫持拿站提权

2026年5月25日 06:21

📷 Photo

其逻辑是对 getRemoteAddrProxy 取出来的 IP，如果路径匹配 webserviceList 且 IP 匹配 webserviceIpList 前缀，就认为是内网地址的请求从而进行放过:
也许对代码比较敏感的审计人员可以通过上述鉴权代码很快发现问题，但说实话我一开始并没有找到漏洞。于是我想到这个鉴权逻辑是否能单独抽离出来使用 Fuzzing 的思路去进行自动化测试。

之前发现 Java 也有一个基于 libFuzzer 的模糊测试框架 Jazzer，但是试用之后发现比较鸡肋，因为和二进制程序会自动 Crash 不同，Java 的 fuzz 需要自己指定 Sink，令其在触达的时候抛出异常来构造崩溃。
渗透后台权限，数据库，服务器
海内外网站，APP 脚本破解定制
鱼游渗透，在线接单中
实力靠谱
需要联系： https://t.me/heiwang01

DNS劫持拿站提权

2026年5月25日 06:21

📷 Photo

🔍 搜索神器

TG必备搜索神器，帮你精准找到，想要的群组，频道，视频，音乐。

👇👇 点击下方按钮，进行搜索！

DNS劫持拿站提权

2026年5月25日 06:21

最近几个月笔者都在研究 Java Web 方向，一方面是工作职责的调整，另一方面也想挑战一下新的领域。对于漏洞挖掘而言，选择一个具体目标是非常重要的，经过一段时间供应链和生态的学习以及同事建议，兼顾漏洞挖掘难度和实战效果选择了泛微OA作为第一个漏洞挖掘的目标。

代码审计
虽然本文介绍的是 Fuzzing，但之前也说过很多次，自动化漏洞挖掘只能作为一种辅助手段，是基于自身对代码结构的理解基础上的提效方式。

在真正开始挖漏洞之前，笔者花了好几周的时间去熟悉目标的代码，并且对一些不清晰的动态调用去进行运行时分析，最终才能在 20G 代码之中梳理出大致的鉴权和路由流程。
渗透后台权限，数据库，服务器
海内外网站，APP 脚本破解定制
鱼游渗透，在线接单中
实力靠谱
需要联系： https://t.me/heiwang01

DNS劫持拿站提权

2026年5月25日 06:21

weaver.workflow.webservices. WorkflowService 就被认为是导出服务。

可以直接被客户端进行调用。调用方式主要是通过 SOAP 请求到 XFireServlet，例如调用上述服务可以发送 POST 请求到 /services/WorkflowService:
表示以指定参数调用服务的 getUserId 方法。
SQL 注入
接下来回到漏洞本身，WorkflowService 服务的具体实现为 WorkflowServiceImpl，例如其中的 getUserId 就是服务导出的一个方法
渗透后台权限，数据库，服务器
海内外网站，APP 脚本破解定制
鱼游渗透，在线接单中
实力靠谱
需要联系： https://t.me/heiwang01

DNS劫持拿站提权

2026年5月25日 06:21

https://t.me/syjq

索引机器 https://t.me/SUOBOT｜ https://t.me/SYJQ 专业的信息索引与搜索平台，能帮你快速发现、重要资讯，出海推广营销助手！telegram频道、群组、视频等内容收录检索。

DNS劫持拿站提权

2026年5月25日 06:21

📷 Photo

🔍 搜索神器

TG必备搜索神器，帮你精准找到，想要的群组，频道，视频，音乐。

👇👇 点击下方按钮，进行搜索！

DNS劫持拿站提权

2026年5月25日 06:21

情报描述 name 参数通过 run_command 函数导致命令注入，我的 ida 并没有成功将 sub_21F28 识别为 run_command，我这里手动改了一下。

先来看看 run_command ，run_command 接收输入为 a1，代表一个字符串。并没有对 a1 进行任何的输入验证即调用 popen 执行。
函数 cgiGetValue(dword_44D3c,"name") cgiGetValue(dword_44D3C, "type") 从请求中获取参数 name type ， name 被传递给了 sub_ACD4 函数，返回值 v3 被作为证书文件的名字使用。因为 name 值用户可控且没有任何过滤，导致可能插入恶意系统命令。对type 进行验证，只有符合预期合法值才可通过。
渗透后台权限，数据库，服务器
海内外网站，APP 脚本破解定制
鱼游渗透，在线接单中
实力靠谱
需要联系： https://t.me/heiwang01

DNS劫持拿站提权

2026年5月25日 06:21

XFire 并不是泛微自己的业务代码，而是一个 SOAP Web 服务框架，它是作为 Apache Axis 的有效替代方案而开发的。除了通过使用 StAX 实现良好性能的目标外，XFire 的目标还包括通过各种插件机制实现灵活性，API 的直观操作以及与通用标准的兼容性。此外 XFire 非常适合集成到基于 Spring Framework 的项目中。

值得一提的是，XFire 目前已经不再进行开发，其官方继任者是 Apache CXF。

XFire 的用法比较简单，首先在 META-INF/xfire/services.xml 中定义需要导出的服务
渗透后台权限，数据库，服务器
海内外网站，APP 脚本破解定制
鱼游渗透，在线接单中
实力靠谱
需要联系： https://t.me/heiwang01

DNS劫持拿站提权

2026年5月10日 16:06

漏洞分析
漏洞只能本地利用未免有些太鸡肋了，继续进行漏洞分析，再尝试寻找远程利用的方法。

通过 PoC 可知漏洞通过 s2s API 传递恶意 shell 命令，分析一下 /usr/lib/oui-httpd/rpc/s2s.so。

漏洞出现在 s2s.enable_echo_server 检查并启动 echo_server 过程中：
虽然代码中检查了 port 参数是否为有效的数字，但没有严格限制其内容，仅验证了其是否为正数且小于 65535。然而，在字符串形式下，它仍然允许嵌入特殊字符，如 $()，这些字符可以被 shell 解释器解析为命令。
渗透后台权限，数据库，服务器
海内外网站，APP 脚本破解定制
鱼游渗透，在线接单中
实力靠谱
需要联系： https://t.me/heiwang01

DNS劫持拿站提权

2026年5月10日 16:06

v16(v27, 128, "%s -p %s -f", "/usr/bin/echo_server", v9); 中，port 参数 (v9) 被直接传递给 snprintf 函数，生成的命令字符串随后通过 system(v27); 执行。

由于 v9 可以包含类似 7 $(touch /root/test) 的字符串，shell 会执行其中的命令 touch /root/test，导致命令注入。

漏洞成因分析起来还是比较容易的，最后一个问题，如何通过远程实现漏洞利用。公开的 PoC 是通过 rpc 路径调用 call 方法触发 s2s.enable_echo_server 漏洞。然而，由于会在 rpc.access 阶段进行权限校验，因此需要找到一个不需要权限校验的路径来执行 call 方法。

回过头再看一眼 /usr/lib/lua/oui/rpc.lua 的 glc_call 方法。
渗透后台权限，数据库，服务器
海内外网站，APP 脚本破解定制
鱼游渗透，在线接单中
实力靠谱
需要联系： https://t.me/heiwang01

DNS劫持拿站提权

2026年5月10日 16:06

📷 Photo

http://M.call/ 函数是核心的 rpc 调用处理器，执行以下步骤：

检查请求的对象是否已加载，如果未加载，则尝试从 /usr/lib/oui-httpd/rpc/ 目录下加载脚本文件。
如果脚本文件存在且加载成功，将对象的方法注册到 objects 表中。
如果无法从 /usr/lib/oui-httpd/rpc/ 目录下加载脚本文件或者找不到对象或方法，则调用 glc_call 执行。
查看 /usr/lib/oui-httpd/rpc/ 目录下是二进制 http://s2s.so/ 文件，无法直接加载，则通过 glc_call 调用 /cgi-bin/glc 执行 C 程序实现的 RPC 方法。

继续跟进 /www/cgi-bin/glc 文件。
渗透后台权限，数据库，服务器
海内外网站，APP 脚本破解定制
鱼游渗透，在线接单中
实力靠谱
需要联系： https://t.me/heiwang01

DNS劫持拿站提权

2026年5月10日 16:06

📷 Photo

🔍 搜索神器

TG必备搜索神器，帮你精准找到，想要的群组，频道，视频，音乐。

👇👇 点击下方按钮，进行搜索！

DNS劫持拿站提权

2026年5月10日 16:06

大致实现逻辑与 /usr/share/gl-ngx/oui-rpc.lua 类似，请求方式验证和读取请求体后动态加载并调用函数，区别在于 /www/cgi-bin/glc 使用 dlopen 动态加载对应的共享库(.so 文件)。

如此看来 PoC 满足/usr/share/gl-ngx/oui-rpc.lua 和 /usr/lib/lua/oui/rpc.lua 两段代码逻辑。

curl -H 'glinet: 1' http://127.0.0.1/rpc -d '{"method":"call", "params":["", "s2s", "enable_echo_server", {"port": "7 $(touch /root/test)"}]}'
请求发送一个 POST 请求到 rpc 路径，携带 JSON 数据
渗透后台权限，数据库，服务器
海内外网站，APP 脚本破解定制
鱼游渗透，在线接单中
实力靠谱
需要联系： https://t.me/heiwang01

DNS劫持拿站提权

2026年5月10日 16:06

这个时候已经没什么头绪了，find 一下所有 nginx 相关文件试试。
查找 nginx 相关文件
每个文件都看看，发现 /etc/uci-defaults/80_nginx-oui 脚本。

/etc/uci-defaults/80_nginx-oui 脚本的主要作用是配置和调整Nginx的相关文件，确保Web服务能够正常运行。

尝试运行 /etc/uci-defaults/80_nginx-oui 看看是否能修复 404 问题。
渗透后台权限，数据库，服务器
海内外网站，APP 脚本破解定制
鱼游渗透，在线接单中
实力靠谱
需要联系： https://t.me/heiwang01

DNS劫持拿站提权

2026年5月10日 16:06

代码实现模块导入、请求方式验证和读取请求体。

要注意 ubus 服务是 OpenWrt 系统中一个进程间通信框架，需要启动。

HTTP 请求仅允许 POST ，拒绝其他方式访问。

/usr/share/gl-ngx/oui-rpc.lua 定义了多个处理函数，每个函数对应不同的 rpc 方法(因为 PoC 通过 call 方法调用 s2s.enable_echo_server 进行攻击，所以只截取 rpc_method_call 方法代码)。
rpc_method_call 进行参数校验、会话检查和 Ubus 调用：

确保 params 中至少三个元素且元素类型正确。
检查 sid 是否有效，并通过 rpc.access 验证访问权限。
如果上述判断均通过，使用 http://rpc.call/ 执行指定的 Ubus 对象和方法。
继续跟进 /usr/lib/lua/oui/rpc.lua 查看 rpc.access 和 http://rpc.call/ 实现。
渗透后台权限，数据库，服务器
海内外网站，APP 脚本破解定制
鱼游渗透，在线接单中
实力靠谱
需要联系： https://t.me/heiwang01

DNS劫持拿站提权

2026年5月10日 16:06

成功修复，接下来尝试漏洞复现，先看一下披露的 PoC。

curl -H 'glinet: 1' http://127.0.0.1/rpc -d '{"method":"call", "params":["", "s2s", "enable_echo_server", {"port": "7 $(touch /root/test)"}]}'
从 PoC 来看好像只能通过 http://127.0.0.1/ 利用，先使用 http://192.168.100.2/ 试试。

PoC 远程利用
拒绝访问，再使用 http://127.0.0.1/ (之前的会话因为启动 nginx ，需要 ssh 再创建一个会话)。

PoC 本地利用
这次报错为内部错误。继续找问题。根据 PoC 可知请求的路径是rpc ，在 /etc/nginx 下的 nginx 配置文件中查找 rpc 相关信息。

在 /etc/nginx/conf.d/gl.conf 找到请求 rpc 路径的处理方法。
渗透后台权限，数据库，服务器
海内外网站，APP 脚本破解定制
鱼游渗透，在线接单中
实力靠谱
需要联系： https://t.me/heiwang01

DNS劫持拿站提权

2026年5月10日 16:06

GL.iNet 是一家专注于智能路由器和网络设备开发的科技公司。成立于 2009 年，总部位于中国，该公司的产品以 OpenWrt 操作系统为基础，提供高度的可定制性和灵活性。公司致力于为家庭、企业以及工业物联网环境提供可靠的网络解决方案。GL.iNet 的设备以其开源特性、强大的功能和优秀的用户体验而受到开发者、网络安全专家和高级用户的青睐。

OpenWrt 是一个基于 Linux 的开源嵌入式操作系统，专为网络设备（如路由器、网关和接入点）设计。与传统的路由器固件不同，OpenWrt 不是单一的、不可变的固件，而是一个完整且可扩展的操作系统，允许自定义以适应任何应用程序。
渗透后台权限，数据库，服务器
海内外网站，APP 脚本破解定制
鱼游渗透，在线接单中
实力靠谱
需要联系： https://t.me/heiwang01

DNS劫持拿站提权

2026年5月10日 16:06

漏洞复现
启动 web 服务，前文已经介绍过 GL.iNet 路由器利用 OpenResty 来增强其 web 管理界面和 API 的功能。而 OpenResty 是基于 Nginx 的 web 平台，内置 Lua 脚本支持，所以首先启动 Nginx 服务。

尝试运行 /etc/init.d 下 nginx 脚本(/etc/init.d 目录通常包含系统启动和管理各种服务的脚本，如果需要启动某个服务，通常可以在该目录中找到相应的脚本)。

查看 /etc/init.d/nginx 如何手动启动 nginx。
渗透后台权限，数据库，服务器
海内外网站，APP 脚本破解定制
鱼游渗透，在线接单中
实力靠谱
需要联系： https://t.me/heiwang01

DNS劫持拿站提权

2026年4月28日 02:56

📷 Photo

— 让搜索更高效 · 让信息更有价值 —

🔍帮你找到有趣的群组、频道、视频、音乐、电影、新闻
📢: https://t.me/CJYQNEWS | 🤖: https://t.me/CJYQ
👇点击下方按钮，进行搜索👇

DNS劫持拿站提权

2026年4月28日 02:56

接着根据返回值，传递给eventReturn，再通过eventReturn值来确定renderView函数传递的viewName是overrideViewUri还是nextRequestResponse.value，overrideViewUri也就是前面提到的getOverrideViewUri方法获取的值
所以为了成功调用到findTemporalExpression，保证的eventReturn为true即可，经测试，如果对应的路由为main、forgotPassword均可使其返回true，得出：如下路由均可在未授权情况下处理findTemporalExpression。
渗透后台权限，数据库，服务器
海内外网站，APP 脚本破解定制
鱼游渗透，在线接单中
实力靠谱
需要联系： https://t.me/heiwang01

DNS劫持拿站提权

2026年4月28日 02:56

跟进renderView，renderView方法主要实现了如下功能：

1、通过viewName的值在controller.xml获取相应的xml配置，
指向的TempExprScreens.xml配置文件中可以看到，通过parameters参数传递tempExprDecoratorLocation作为location的值，后续会用到这个值
2、将viewMap.page作为nextPage，并继续调用render方法。
继续跟进到DecoratorScreen#renderWidgetString中调用this.getLocation方法解析模板获取parameters参数
this.getLocation方法代码如下，所以这里可以通过url传递tempExprDecoratorLocation参数来指定location
渗透后台权限，数据库，服务器
海内外网站，APP 脚本破解定制
鱼游渗透，在线接单中
实力靠谱
需要联系： https://t.me/heiwang01

DNS劫持拿站提权

2026年4月28日 02:56

漏洞名称：Apache OFBiz SSRF to RCE

漏洞影响：version < 18.12.16

CVE：CVE-2024-45507

据互联网上相关OFBiz漏洞PoC陆续公开，趁热拿url调试分析一下漏洞原理。

2.环境搭建
复现版本：18.12.12

执行如下代码进行下载和启动OFBiz

3.漏洞分析
以/webtools/control/main/findTemporalExpression 举例，访问并断点RequestHandler#resolveURI的处理逻辑如图1所示。
渗透后台权限，数据库，服务器
海内外网站，APP 脚本破解定制
鱼游渗透，在线接单中
实力靠谱
需要联系： https://t.me/heiwang01

DNS劫持拿站提权

2026年4月28日 02:56

📷 Photo

🔍 搜索神器

TG必备搜索神器，帮你精准找到，想要的群组，频道，视频，音乐。

👇👇 点击下方按钮，进行搜索！

DNS劫持拿站提权

2026年4月28日 02:56

接着根据返回值，传递给eventReturn，再通过eventReturn值来确定renderView函数传递的viewName是overrideViewUri还是nextRequestResponse.value，overrideViewUri也就是前面提到的getOverrideViewUri方法获取的值
所以为了成功调用到findTemporalExpression，保证的eventReturn为true即可，经测试，如果对应的路由为main、forgotPassword均可使其返回true，得出：如下路由均可在未授权情况下处理findTemporalExpression。
渗透后台权限，数据库，服务器
海内外网站，APP 脚本破解定制
鱼游渗透，在线接单中
实力靠谱
需要联系： https://t.me/heiwang01

DNS劫持拿站提权

2026年4月28日 02:56

然后判断requestMapMap是否存在requestUri，以及viewMapMap是否存在viewUri，符合上述条件则返回requestUri所对应的配置

RequestHandler#resolveURI 判断逻辑
后续根据获取的rmaps的配置来反射调用相关函数，并根据其返回值再判断其后续调用，例如login路由对应LoginWorker#login方法，返回的三种不同的值：success、requirePasswordChange、error
渗透后台权限，数据库，服务器
海内外网站，APP 脚本破解定制
鱼游渗透，在线接单中
实力靠谱
需要联系： https://t.me/heiwang01

DNS劫持拿站提权

2026年4月28日 02:56

https://t.me/syjq

索引机器 https://t.me/SUOBOT｜ https://t.me/SYJQ 专业的信息索引与搜索平台，能帮你快速发现、重要资讯，出海推广营销助手！telegram频道、群组、视频等内容收录检索。

DNS劫持拿站提权

2026年4月28日 02:56

📷 Photo

其逻辑是对 getRemoteAddrProxy 取出来的 IP，如果路径匹配 webserviceList 且 IP 匹配 webserviceIpList 前缀，就认为是内网地址的请求从而进行放过:
也许对代码比较敏感的审计人员可以通过上述鉴权代码很快发现问题，但说实话我一开始并没有找到漏洞。于是我想到这个鉴权逻辑是否能单独抽离出来使用 Fuzzing 的思路去进行自动化测试。

之前发现 Java 也有一个基于 libFuzzer 的模糊测试框架 Jazzer，但是试用之后发现比较鸡肋，因为和二进制程序会自动 Crash 不同，Java 的 fuzz 需要自己指定 Sink，令其在触达的时候抛出异常来构造崩溃。
渗透后台权限，数据库，服务器
海内外网站，APP 脚本破解定制
鱼游渗透，在线接单中
实力靠谱
需要联系： https://t.me/heiwang01

DNS劫持拿站提权

2026年4月28日 02:56

http://127.0.0.10/ 这个 payload，可以触发 IP 鉴权的绕过！反过来分析这个 PoC，可以发现之所以能绕过是因为 webserviceIpList 只检查了前缀，而 http://127.0.0.10/ 可以在 internalIp 返回 False，即认为不是内部 IP，但实际上 webserviceIpList 却认为是内部 IP，从而导致了绕过。

如果只是从代码上去分析的话，可能一时半会并不一定能发现这个问题，可是通过 Fuzzing 在覆盖率反馈的加持下，却可以在几秒钟之内找到正解，这也是人工审计无法比拟的。
渗透后台权限，数据库，服务器
海内外网站，APP 脚本破解定制
鱼游渗透，在线接单中
实力靠谱
需要联系： https://t.me/heiwang01

Showing 30 of 51 posts

评分

需要登录

用户评论 (0)

暂无评论。成为第一个分享您体验的人！

DNS劫持拿站提权

DNS劫持拿站提权

排名

订阅者增长 (过去 11 天)

最新帖子

评分

用户评论 (0)

相关 Telegram 频道

🛒 Telegram 店铺

AdsGram 中文

Китайская Панорама

🥇🥇🥇【官方推荐】🚀极速VPN加速器官方频道🚀

秋刀鱼 Kernel Channel

💟自贡💟诚信平台/同城约炮💟优质资源/真实可靠💟

zh__CN 简体中文中文设置中文简体中文汉化

艺欣的小秘密

相关 Telegram 频道

🛒 Telegram 店铺

AdsGram 中文

Китайская Панорама

🥇🥇🥇【官方推荐】🚀极速VPN加速器官方频道🚀

秋刀鱼 Kernel Channel

💟自贡💟诚信平台/同城约炮💟优质资源/真实可靠💟

zh__CN 简体中文中文设置中文简体中文汉化

艺欣的小秘密

用户评论 (0)

最新帖子

DNS劫持 拿站 提权

DNS劫持 拿站 提权

排名

订阅者增长 (过去 11 天)

最新帖子

评分

用户评论 (0)

相关 Telegram 频道

🛒 Telegram 店铺

AdsGram 中文

Китайская Панорама

🥇🥇🥇【官方推荐】🚀极速VPN加速器官方频道🚀

秋刀鱼 Kernel Channel

💟自贡💟诚信平台/同城约炮💟优质资源/真实可靠💟

zh__CN 简体中文 中文设置 中文简体 中文汉化

艺欣的小秘密

相关 Telegram 频道

🛒 Telegram 店铺

AdsGram 中文

Китайская Панорама

🥇🥇🥇【官方推荐】🚀极速VPN加速器官方频道🚀

秋刀鱼 Kernel Channel

💟自贡💟诚信平台/同城约炮💟优质资源/真实可靠💟

zh__CN 简体中文 中文设置 中文简体 中文汉化

艺欣的小秘密

用户评论 (0)

最新帖子

DNS劫持拿站提权

DNS劫持拿站提权

zh__CN 简体中文中文设置中文简体中文汉化

zh__CN 简体中文中文设置中文简体中文汉化