CVE-2019-16278 — 神龙十问 AI 深度分析摘要
本页是神龙十问 AI 深度分析的
摘要版。完整版（更长回答、追问、相关漏洞）需
登录查看 →Q1这个漏洞是什么？（本质+后果）
🚨 **本质**：路径遍历漏洞（Directory Transversal）。 💥 **后果**：攻击者可绕过受限目录，直接访问服务器任意位置，甚至实现 **远程代码执行 (RCE)**。
Q2根本原因？（CWE/缺陷点）
🔍 **缺陷点**：`http_verify` 函数处理不当。 📉 **CWE**：数据中未明确指定，但属于典型的 **路径遍历/目录穿越** 缺陷，未正确过滤特殊元素。
Q3影响谁？（版本/组件）
📦 **组件**：Nostromo nhttpd（开源 Web 服务器）。 📅 **版本**：**1.9.6 及之前版本**。
Q4黑客能干啥？（权限/数据）
🕵️ **黑客能力**： 1. 访问 **受限目录之外** 的文件。 2. 通过路径遍历实现 **远程代码执行 (RCE)**。 3. 获取服务器权限（如执行 `id`, `pwd` 等命令）。
Q5利用门槛高吗？（认证/配置）
🔓 **门槛**：**低**。 🚫 **认证**：**无需认证** (Unauthenticated)。 ⚙️ **配置**：直接利用路径遍历即可触发。
Q6有现成Exp吗？（PoC/在野利用）
💻 **Exp 现状**：**有现成 PoC/Exp**。 🔗 多个 GitHub 仓库提供 Python/Shell 脚本（如 `jas502n`, `ianxtianxt` 等），可直接执行命令。
Q7怎么自查？（特征/扫描）
🔎 **自查方法**： 1. 检测目标是否运行 **Nostromo nhttpd** 服务。 2. 发送包含 `.%0d.` 的畸形 HTTP 请求（如 `POST /.%0d./...`）。 3. 观察响应是否返回非预期文件或命令执行结果。
Q8官方修了吗？（补丁/缓解）
🛡️ **官方修复**：数据中未提供具体补丁链接，但指出 **1.9.6 之后版本** 应已修复。建议升级至最新版本。
Q9没补丁咋办？（临时规避）
⚠️ **临时规避**： 1. **升级** 到修复后的版本。 2. 若无法升级，通过 **WAF** 或 **反向代理** 拦截包含 `..` 或 `%0d` 的异常路径请求。 3. 限制 Web 服务器进程权限。
Q10急不急？（优先级建议）
🔥 **优先级**：**极高 (Critical)**。 💡 **理由**：无需认证即可 **RCE**，且已有公开利用代码，危害极大，建议立即处置。