0x01 漏洞描述

- LanProxy路径遍历漏洞（CVE-2021-3019） -

LanProxy是一个将局域网个人电脑、服务器代理到公网的内网穿透工具。LanProxy 存在目录遍历漏洞，攻击者构造恶意请求，可直接获取到LanProxy配置文件，从而登录LanProxy管理后台进入内网。

0x02 漏洞等级

威胁级别 高危 中危 低危

0x03 漏洞验证

探测到目标服务器存在LanProxy代理工具web管理面板。

使用检测语句读取系统配置文件 config.properties ，响应包返回了配置文件的信息，证明存在路径遍历漏洞。

0x04 漏洞修复

  1. 禁止将LanProxy管理面板对公网开放。
  2. 路由层配置过滤“../”及其编码。
  3. 升级LanProxy版本。