西部数码MyCloud NAS命令执行漏洞丨WD My Cloud RCE

ps 2019-05-24

在这篇文章中，我将要解释我是如何发现西部数据NAS设备的一些漏洞的，组合在一起后最终可以实现root权限的远程代码执行的效果。要想控制NAS设备，需要保证攻击者与NAS设备处于同一网络，并且知道其真实IP。POC在这里。前奏这一切均源于，我决定斥资购买西部数据（WD）My Cloud EX2 Ultra。与其他型号不同，这款产品为消费者提供了切换硬盘驱动器的...