an4er

Want to be a Ctfer, Developer, Red Team


Go-fastdfs Path traversal

Published December 22, 2022

疫情原因,学校提早放假,要求返乡学习。闲来刷博客,看到了茄子师傅的两篇挖go应用的文章,正好前段时间写极客平台,goweb比较熟悉了,就在github找star从高到低的应用来挖。运气好正好碰见这个漏网之鱼 这是一个文件管理的go web应用,能够上传文件,且上传的信息保存在一个自定义的结构体中(一些知名框架比如gin所提供的接收文件上传的地方对于文件名是会进行清洗的

image-20231107153716584

这里的path和filename都是我们可以自定义的地方,然后保存文件

image-20231107153910521

所以能达到我们上传文件到目标机子上的任意文件夹下,可以尝试写入ssh key来达到RCE的效果

image-20231107154113232

提交到huntr后,作者没有回应

image-20231107154242422

后来就直接开了个issue,然后修复后就去提交了CVE申请