当前位置：首页 > news >正文

XXL-JOB 默认 accessToken 身份绕过导致 RCE

news 2026/2/8 21:55:15

文章目录

- - 0x01 漏洞介绍
  - 0x02 影响版本
  - 0x03 环境搭建
  - 0x04 漏洞复现
  - - 第一步访问页面返回报错信息
    - 第二步执行POC,进行反弹shell
    - 第三步获取shell
  - 0x05 修复建议
  - 摘抄
  - 免责声明

0x01 漏洞介绍

XXL-JOB 是一款开源的分布式任务调度平台，用于实现大规模任务的调度和执行。

XXL-JOB 默认配置下，用于调度通讯的accessToken不是随机生成的，而是使用 application.properties 配置文件中的默认值。
在实际使用中如果没有修改默认值，攻击者可利用此绕过认证调用 executor，执行任意代码，从而获取服务器权限。

0x02 影响版本

XXL-JOB 默认 accessToken 身份绕过导致 RCE

文章目录 0x01 漏洞介绍0x02 影响版本0x03 环境搭建0x04 漏洞复现第一步访问页面返回报错信息第二步执行POC,进行反弹shell第三步获取shell0x05 修复建议摘抄免责声明0x01 漏洞介绍 XXL-JOB 是一款开源的分布式任务调度平台，用于实现大规模任务的调度和执行。 XXL-JOB 默…...

编程日记 2023/11/6 0:19:13

7 库函数之复位和时钟设置（RCC）所有函数的介绍及使用

7 库函数之复位和时钟设置（RCC）所有函数的介绍及使用的介绍及使用 1. 图片有格式二、RCC库函数固件库函数预览2.1 函数RCC_DeInit2.2 函数RCC_HSEConfig2.3 函数RCC_WaitForHSEStartUp2.4 函数RCC_AdjustHSICalibrationValue2.5 函数RCC_HSICmd2.6 函数RCC_PLLConfig2.7 函数…...

编程日记 2023/11/6 0:18:11

第十七节——指令

一、概念在Vue.js中，指令（Directives）是一种特殊的语法，用于为HTML元素添加特定的行为和功能。指令以v-作为前缀，通过在HTML标签中使用这些指令来操作DOM，修改元素的属性、样式或行为。 Vue.js提供了一组…...

编程日记 2023/11/6 0:16:09

优雅的 Dockerfile 是怎样炼成的？

Docker 简介目前，Docker 主要有两个形态：Docker Desktop 和 Docker Engine。 Docker Desktop 是专门针对个人使用而设计的，支持 Mac（已支持arm架构的M系芯片） 和 Windows 快速安装，具有直观的图形界面&a…...

编程日记 2023/11/6 0:15:07

2023-2024 中国科学引文数据库来源期刊列表（CSCD）

文章目录 CSCD来源期刊遴选报告2023-2024 中国科学引文数据库来源期刊列表（CSCD） CSCD来源期刊遴选报告 2023-2024 中国科学引文数据库来源期刊列表（CSCD）...

编程日记 2023/11/6 0:14:06

【3D图像分割】基于Pytorch的VNet 3D图像分割5（改写数据流篇）

在这篇文章：【3D 图像分割】基于 Pytorch 的 VNet 3D 图像分割2（基础数据流篇） 的最后，我们提到了： 在采用vent模型进行3d数据的分割训练任务中，输入大小是16*96*96，这个的裁剪是放到Dataset类…...

编程日记 2023/11/6 0:13:05

WebSocket Day02 : 握手连接

前言握手连接是WebSocket建立通信的第一步，通过客户端和服务器之间的一系列握手操作，确保了双方都支持WebSocket协议，并达成一致的通信参数。握手连接的过程包括客户端发起握手请求、服务器响应握手请求以及双方完成握手连接。完成握手连接后…...

编程日记 2023/11/6 0:12:03

c#的反编译工具ISPY和net reflector 使用比较

我有一份Asp.net程序需要修改，但没有源码，只有dll，需要使用反编译工具回复源码，尝试使用了市面上的两种主流的工具ISPY和net reflector ，最终用ISPY恢复了源码。比较 ISPY 恢复的代码和实际有差距，但还能…...

编程日记 2023/11/6 0:11:02

基于LDA主题+协同过滤+矩阵分解算法的智能电影推荐系统——机器学习算法应用(含python、JavaScript工程源码)+MovieLens数据集（四）

目录前言总体设计系统整体结构图系统流程图运行环境模块实现1. 数据爬取及处理2. 模型训练及保存3. 接口实现4. 收集数据5. 界面设计系统测试相关其它博客工程源代码下载其它资料下载前言前段时间，博主分享过关于一篇使用协同过滤算法进行智能电影推荐系统的博…...

编程日记 2023/11/6 0:09:00

方阵行列式与转置矩阵

1.转置矩阵：格式规定：如果矩阵A为n阶方阵，那么A的T次方为矩阵A的转置矩阵，即将矩阵A的行与列互换。 2.转置矩阵的运算性质： 1.任何方阵的转置矩阵的转置矩阵为方阵自身。 2.多个矩阵的和的转置矩阵等于多个转置矩阵的…...

编程日记 2023/11/6 0:07:58

【Java 进阶篇】Java Cookie共享：让数据穿越不同应用的时空隧道

在Web开发中，Cookie是一种常见的会话管理技术，用于存储和传递用户相关的信息。通常，每个Web应用都会在用户的浏览器中设置自己的Cookie，以便在用户与应用之间保持状态。然而，有时我们需要在不同的应用之间共享Cookie数…...

编程日记 2023/11/6 0:06:56

甘特图组件DHTMLX Gantt用例 - 如何拆分任务和里程碑项目路线图

创建一致且引人注意的视觉样式是任何项目管理应用程序的重要要求，这就是为什么我们会在这个系列中继续探索DHTMLX Gantt图库的自定义。在本文中我们将考虑一个新的甘特图定制场景，DHTMLX Gantt组件如何创建一个项目路线图。 DHTMLX Gantt正式版下载用…...

编程日记 2023/11/6 0:05:55

克里金插值matlab代码

% 克里金插值示例 clc; clear; % 生成模拟数据 x linspace(0, 10, 11); y linspace(0, 10, 11); [X, Y] meshgrid(x, y); Z sin(sqrt(X.^2 Y.^2)) 0.1 * randn(size(X)); % 设置克里金参数 nugget 0.1; % 块金值 range 1; % 范围 sill 1; % 基台值 azimuth …...

编程日记 2023/11/6 0:04:54

【LeetCode】23. 合并 K 个升序链表

题目链接：23. 合并 K 个升序链表题目描述： 数据范围： **思考：**这题实际上就是合并两个有序列表的进阶版，只不过这里变成了合并K个，那么这里我们显然就知道，核心的合并两个有序列表的思路不…...

编程日记 2023/11/6 0:03:53

2023年【熔化焊接与热切割】免费试题及熔化焊接与热切割考试总结

题库来源：安全生产模拟考试一点通公众号小程序熔化焊接与热切割免费试题参考答案及熔化焊接与热切割考试试题解析是安全生产模拟考试一点通题库老师及熔化焊接与热切割操作证已考过的学员汇总，相对有效帮助熔化焊接与热切割考试总结学员顺利通过考试。…...

编程日记 2023/11/6 0:02:52

为什么要学中文编程？它能有哪些益处？免费版编程工具怎么下载？系统化的编程教程课程怎么学习

一、为什么要学习这个编程工具？能给自己带来什么益处？ 1、不论在哪里上班，都不是铁饭碗：现在全球经济低迷，使得很多企业倒闭， 大到知名国企小到私营企业，大量裁员。任何人都无法保证自己现在的…...

编程日记 2023/11/6 0:01:51

数据分析实战 - 2 订单销售数据分析（pandas 进阶）

题目来源：和鲸社区的题目推荐： 刷题源链接（用于直接fork运行 https://www.heywhale.com/mw/project/6527b5560259478972ea87ed 刷题准备请依次运行这部分的代码（下方4个代码块），完成刷题前的数据准备 …...

编程日记 2023/11/6 0:00:51

测试服务器端口是否开通，计算退休时间

本案例知识点 netstat -tuln | grep 80 nestat 目前主机打开的网络服务端口，-tuln目前主机启动的服务，如图报错说参数太多，仔细检查发现if后的中括号内，变量少双引号导致，改完之后运行显示22,25端口开放&#xff0…...

编程日记 2023/11/5 23:59:50

Prometheus接入AlterManager配置企业微信告警(基于K8S环境部署)

文章目录一、创建企业微信机器人二、配置AlterManager告警发送至企业微信三、Prometheus接入AlterManager配置四、部署PrometheusAlterManager(放到一个Pod中)五、测试告警注意：请基于 PrometheusGrafana监控K8S集群(基于K8S环境部署)文章之上做本次实验。一、创…...

编程日记 2023/11/5 23:58:49

11.1 Linux 设备树

一、什么是设备树？ 设备树(Device Tree)，描述设备树的文件叫做 DTS(DeviceTree Source)，这个 DTS 文件采用树形结构描述板级设备，也就是开发板上的设备信息： 树的主干就是系统总线， IIC 控制器、 GPIO 控制…...

编程日记 2023/11/5 23:57:46

conda相比python好处

Conda 作为 Python 的环境和包管理工具，相比原生 Python 生态（如 pip 虚拟环境）有许多独特优势，尤其在多项目管理、依赖处理和跨平台兼容性等方面表现更优。以下是 Conda 的核心好处： 一、一站式环境管理&#xff1a…...

编程新知 2025/11/29 6:54:19

【HarmonyOS 5.0】DevEco Testing：鸿蒙应用质量保障的终极武器

——全方位测试解决方案与代码实战一、工具定位与核心能力 DevEco Testing是HarmonyOS官方推出的一体化测试平台，覆盖应用全生命周期测试需求，主要提供五大核心能力： 测试类型检测目标关键指标功能体验基…...

编程新知 2026/1/28 8:17:53

Day131 | 灵神 | 回溯算法 | 子集型子集

Day131 | 灵神 | 回溯算法 | 子集型子集 78.子集 78. 子集 - 力扣（LeetCode） 思路： 笔者写过很多次这道题了，不想写题解了，大家看灵神讲解吧回溯算法套路①子集型回溯【基础算法精讲 14】_哔哩哔哩_bilibili 完…...

编程新知 2026/1/23 12:37:51

什么是库存周转？如何用进销存系统提高库存周转率？

你可能听说过这样一句话： “利润不是赚出来的，是管出来的。” 尤其是在制造业、批发零售、电商这类“货堆成山”的行业，很多企业看着销售不错，账上却没钱、利润也不见了，一翻库存才发现： 一堆卖不动的旧货…...

编程新知 2026/1/26 13:21:10

cf2117E

原题链接：https://codeforces.com/contest/2117/problem/E 题目背景： 给定两个数组a,b，可以执行多次以下操作：选择 i (1 < i < n - 1)，并设置或，也可以在执行上述操作前执行一次删除任意和。求…...

编程新知 2026/2/4 15:29:40

ArcGIS Pro制作水平横向图例+多级标注

今天介绍下载ArcGIS Pro中如何设置水平横向图例。之前我们介绍了ArcGIS的横向图例制作：ArcGIS横向、多列图例、顺序重排、符号居中、批量更改图例符号等等（ArcGIS出图图例8大技巧），那这次我们看看ArcGIS Pro如何更加快捷的操作。…...

编程新知 2026/2/4 17:18:03

网络编程（UDP编程）

思维导图 UDP基础编程（单播） 1.流程图服务器：短信的接收方创建套接字 (socket)-----------------------------------------》有手机指定网络信息-----------------------------------------------》有号码绑定套接字 (bind)--------------…...

编程新知 2026/2/4 17:31:44