ElasticSearch远程任意代码执行漏洞利用工具(CVE-2014-3120)

ElasticSearch用的脚本引擎是MVEL,这个引擎没有做任何的防护,或者沙盒包装,所以直接可以执行任意代码。检测脚本 

效果图:






在线线检查网址:


http://tool.scanv.com/es.html






保存为 check.py,check.zip


漏洞利用脚本 
保存为 exp.py

exp.zip

评论回复