本文共 491 字，大约阅读时间需要 1 分钟。

简介

lanproxy是一个将局域网个人电脑、服务器代理到公网的内网穿透工具，目前仅支持tcp流量转发，可支持任何tcp上层协议（访问内网网站、本地支付接口调试、ssh访问、远程桌面…）。目前市面上提供类似服务的有花生壳、TeamViewer、GoToMyCloud等等，但要使用第三方的公网服务器就必须为第三方付费，并且这些服务都有各种各样的限制，此外，由于数据包会流经第三方，因此对数据安全也是一大隐患。

影响版本

lanproxy 0.1

漏洞概述

本次Lanproxy 路径遍历漏洞 (CVE-2021-3019)通过…/绕过读取任意文件。

该漏洞允许目录遍历读取/…/conf/config.properties来获取到内部网连接的凭据。

环境搭建

下载lanproxy安装包：

漏洞复现：

使用burpsuite抓包，在url处触发漏洞：

转载地址：http://fqcyk.baihongyu.com/