CVE-2021-21315系统信息 这是的概念证明,它影响到的系统信息库(npm程序包“ systeminformation”)。 “请务必检查或清理传递给si.inetLatency(),si.inetChecksite(),si.services(),si.processLoad()的服务参数...仅允许使用字符串,拒绝任何数组。字符串清理如预期般运作。” 因为没有很好地解释漏洞(我认为),所以我决定根据系统信息的漏洞版本编写小型应用程序。 PoC包含: 使用明确的易受攻击的系统信息测试Node.js中制作的应用 简单测试有效负载即可在受影响的计算机上创建.txt文件 重现步骤: 在Linux服务器环境上运行应用程序 向site.com/api/getServices?name=nginx发出GET请求(nginx只是示例) 现在尝试发送这样的请求:yoursite.co