Node.js CVE-2017-14849 复现

Node.js任意文件读取漏洞（CVE-2017-14849）复现

漏洞详情

2017年9月28日，腾讯应急响应中心发现node.js存在任意文件读取漏洞，可以通过该漏洞读取到系统任意文件

影响版本

Node.js 8.5.0 + Express 3.19.0-3.21.2
Node.js 8.5.0 + Express 4.11.0-4.15.5

漏洞复现

环境搭建

靶场：腾讯云服务器，通过docker部署vulhub漏洞平台，搭建教程参考 ：https://github.com/vulhub/vulhub
攻击机：windows 10

复现过程

1. 创建漏洞环境
   进入到node/CVE-2017-14849目录下执行 sudo docker-compose up -d
   

2. 查看端口 sudo docker-compose config
   

3. 访问页面
   

4. 使用burpsuite抓包后，在请求url后面凭借payload点击send发送，响应包可以看见passwd的文件中信息

payload(/static/…/…/…/a/…/…/…/…/etc/passwd)

参考文章

https://security.tencent.com/index.php/blog/msg/121

https://www.jianshu.com/p/50e5090028f4