DroboAccess v2.1 免认证命令注入漏洞 CVE-2018-14699 利用脚本发布

公开的利用脚本针对 DroboAccess v2.1 中 enable_user 函数的免认证盲命令注入漏洞 CVE-2018-14699，该函数将用户名参数直接传入执行 shell 的依赖且未做过滤。脚本通过向当前目录写入 revshell 文件并以 bash 执行，回连攻击者监听端口，已在 B810n 设备上测试成功。