CVE-2025-23167 – Node.js HTTP 请求走私漏洞利用

针对 CVE-2025-23167 的可正常工作的利用程序，这是一个影响 Node.js 20.x（低于 v20.19.2）版本的请求走私漏洞。该缺陷允许不正确的 HTTP 头终止，使攻击者能够绕过基于代理的访问控制。

文件

• exploit.py – 针对该漏洞的基于 Python3 的利用程序。
• lab.js – 用于模拟易受攻击环境的简单 Node.js 服务器。

用法

漏洞利用

要运行漏洞利用脚本：

• 运行：python3 exploit.py <target-domain-or-ip> <port>

示例输入与输出

实验环境搭建

要搭建测试环境：

• 确保你使用的是 Node.js v20.19.1 或更低版本。
• 安装 express（npm install express）。
• 然后运行 node lab.js 来启动服务器。
• 服务器将运行在 http://localhost:8989（或你选择的端口）。