向日葵远程桌面存在远程代码执行漏洞

[itemqq]

刚看到的，在用的朋友注意更新下版本吧

https://github.com/TRYblog/sunlogin_rce_

[ClericPy]

好奇 manjaro 上和 Ubuntu 上用的有没有影响

[justNoBody]

404 了 有 fork 么

[jinliming2]

@justNoBody github 上搜仓库名，可以搜到 fork

[LeeReamond]

好奇啥原理，有无 go 大佬快速浏览代码看一遍

[LeeReamond]

@LeeReamond 以一小时 go 语言编程经验的水平看代码感觉是向日葵的临时工行为

[yuedingwangji]

这么刺激么，国内用向日葵不少呀

[x86]

好东西呀

[musi]

感觉没啥用哇，需要对方是公网 ip 才可以扫，我要是有公网我肯定不用向日葵，就算有公网同时用了向日葵我也不会把向日葵监听的端口映射出去。所以这最多就扫个同一内网下的机器

[Lentin]

@musi 向日葵会自动开启 upnp😮‍💨

[NGGTI]

升级一下新版就行了

[neroxps]

https://github.com/heyzm/sunlogin_rce_/blob/2afa96bc8039a27945d951ea5408194c84c30541/rce/web.go#L47
？？？？

[Webpoplayer]

看了下,还是卸载了向日葵 ..

[cweijan]

看了下代码最终是`http://" + config.GetIp() + ":" + config.GetPort() + "/check?cmd=ping..%2F..%2F..%2F..%2F..%2F..%2F..%2F..%2F..%2Fwindows%2Fsystem32%2FWindowsPowerShell%2Fv1.0%2Fpowershell.exe`, 意味着有公网 IP 计算机运行的向日葵才会有这个风险, 个人电脑完全没关系..

[dbpe]

不用向日葵...

[musi]

@Lentin 就算开了 upnp 没有公网 ip 还是用不了

[zpzpzp]

公网 IP win nas ,赶紧卸载了

[maskerTUI]

UPnP 需要路由器、操作系统和应用软件本身的支持。
我看了一下我的 tp 路由器，upnp 里面并没有向日葵，只有一条微信的 voip 。

[advancejar]

都公网了还要向日葵？
直接远程桌面有危险吗？

[anyclue]

哪个版本以下受影响啊

[yagamil]

以 fork 了一份，扫描试试