Erkennungstool für die Schwachstelle zum Hinzufügen eines Administrators in Harbor

0x00 Überblick

Im September 2019 wurde in Harbor eine Schwachstelle bekannt, die über die Registrierungsfunktion das Hinzufügen eines Administrators ermöglicht. Über die Registrierungsschnittstelle api/users und den POST-Parameter "has_admin_role":true kann direkt ein Administrator hinzugefügt werden.

Dieses Tool unterstützt die Prüfung einzelner URLs oder die Stapelprüfung.

0x01 Anforderungen

python2.7

pip install requests

0x02 Schnellstart

Verwendungshilfe: python harbor-give-me-admin.py -h

Einzel-URL-Prüfung: python harbor-give-me-admin.py -u "https://www.xxx.com/"

//Bei erfolgreicher Ausnutzung wird das Administratorkonto test00 hinzugefügt, Vorsicht!

Batch-Prüfung: python harbor-give-me-admin.py -f urls,txt

//Bei erfolgreicher Ausnutzung wird das Administratorkonto test00 hinzugefügt, Vorsicht!

0x03 Feedback

issus

gmail：[email protected]

qq：[email protected]