找到了哪吒面板漏洞！！！

大家别用这个漏洞去攻击别人啊，我只是发出来让大家看看。装了哪吒面板的可以检查自己有没有这个漏洞，有就赶紧关了升级吧

关闭密码登陆，开启oauth

你这打码跟没打一样

@siesta #3

^-^ ^-^ 不说了升级去了

还好我一个没安装

所以需要登录才能显示吗

还好不用哪吒

以后就知道了，用别人的东西。

路径包含关键字的，dash.admin.mail.cloud.....，

一律ip白名单。

我早就升级到最新版了，然后顺便再加了一个cf规则

我前天已经中招过了 被入侵 ^-^ ，不用这些探针了，换grafana+prometheus

但是只有你登录之后，访问这个文件才能获取私密信息

那其实这是安全的吧？你能登录就证明是你本人，那这些信息能看到也正常

为啥我就访问不到

@Saqjs-NS #11

nono,我新开了无痕窗口能获取到，这就有很大问题了，因为无痕窗口是不带登录信息的

幸好没用哪吒

@youyouyouyou #13 那这就是严重问题了 ^-^

不用登录也能看到，他那个配置文件是密钥，可以通过下载你的db文件里用户信息加上密钥自己伪造登录token

没事刚学了用access保护

@520 #16

我擦，确实，不登录也能看见，那更完蛋 ^-^

# 拦截路径穿越（GHSA-5c25-7vpj-9mqh）

location ~* (^|/)(dashboard\.\.|dashboard%2e%2e|dashboard%252e%252e) {

    return 403;

}



# 拦截路径穿越核心符号

location ~* "\.\./" {

    return 403;

}



location ~* "%2e%2e" {

    return 403;

}



    

  

被黑了应该怎么清理啊 ?

有服务呢, 可以不重装系统吗

谢谢提醒 ^-^

还好升级了

@issues #19



升级之后就没有了，朋友们

没装过哪吒

大家别用这个漏洞去攻击别人啊，我只是发出来让大家看看

@aseenm #25

关键信息已经去掉了，兄弟

有点可怕

@calg #20

我也不知道哇，我检查了一下服务器，发现早上九点建了未知登录key，我直接删了，没发现有什么不正常的服务和定时任务，但是进程只能说看着都正常，历史指令记录和登录记录也正常，应该没什么吧，可能是被脚本扫到了植入了登录key,但是还没开始干坏事 ^-^

我也是今天凌晨被植入了，早上起来发现root密码被改了且植入了root公钥，但是我没开root登录所以没进我的小鸡里，上午检查了半天没发现别的植入，可能是还没来得及。

^-^ @youyouyouyou #0

@MineX #29

希望是的 ^-^

哪吒是开源还是不开源？

一个探针 功能那么复杂。。

欢迎使用上古探针：tz.cloudcpp.com