我已中招 | 哪吒探针 v1.x ～ v2.0.12 高危漏洞

事件概述

官方已经发布公告好几天了，没想到我也中招了。

在我升级哪吒前，就已经中招，只是还未发现，当时升级哪吒于事无补，狗已进门，导致几十台机器被植入挖矿木马。

万幸的是，所有数据资料均有备份，不幸中的万幸了。

折腾一宿，将所有机器重装了。

发现&排查&处理

在官方公告出来后，我就去更新了最新版的哪吒。

殊不知在我更新前就已经中招，只是还未作妖，导致我大意了，未去排查是否中招。

于昨日(2026/06/16)查看探针时，发现了不对劲的地方。

所有机器在下午1时许，CPU飙升至100%，内存吃满了，这个状态持续不到1小时，目测应该是狗东西的木马主控的机器遭封禁下线了，从而无法再控制我的机器。

立马去排查，发现所有机器莫名增加了几十上百条TCP连接。

在这里我送这个狗东西一句话：我敲里吗祖宗十八代！

根据哪吒官方说明，受影响范围为：v1.x ～ v2.0.12。

最新版本已修复相关漏洞，建议立即更新到最新版本。

漏洞公告： https://github.com/nezhahq/nezha/security/advisories/GHSA-5c25-7vpj-9mqh

漏洞验证

该漏洞本质上是一个路径穿越漏洞，攻击者可读取面板中的敏感文件，包括：

• 面板配置文件
• 数据库文件

例如面板地址为：

https://example.org/

如果能够通过以下路径直接访问到文件，则说明面板已存在安全风险：

https://example.org/dashboard../data/config.yaml

https://example.org/dashboard../data/sqlite.db

利用方式

官方也披露了完整的利用链：

1. 通过路径穿越获取 config.yaml
2. 从配置文件中提取 JWT Secret
3. 获取 sqlite.db
4. 查询 users 表获得用户 ID（默认管理员通常为 1）
5. 构造 JWT，包含 user_id 和 ip

其中：

• user_id 为数据库中用户 ID
• ip 为面板获取到的访问者 IP

生成 JWT 后，将其写入浏览器 Cookie 中的 nz-jwt 即可直接登录后台。

安全建议

如果你的面板版本处于官方公告涉及范围内，官方建议：

1. 立即升级 Dashboard 至最新版本；
2. 重新生成或更换 JWT 会话签名密钥、Agent 连接密钥；
3. 修改管理员密码，并检查是否存在陌生管理员或异常用户；
4. 轮换配置文件中保存的 OAuth2 Secret等外部凭据；
5. 检查是否存在异常 Agent 未授权访问、异常数据库访问、异常静态资源请求、路径穿越请求，或针对配置文件、数据库文件的访问尝试。

个人建议如果面板具备连接节点 SSH 或执行远程操作的能力，应该进一步检查所有已接入节点。