产品与识别
该技能针对 Kong API 网关、Konga（Web 管理 UI）与 Kong Insomnia（API 客户端）三类组件。默认端口为：8000（Proxy）、8443（Proxy SSL）、8001（Admin API）、8444（Admin SSL）、1337（Konga）。识别特征为响应头 X-Kong-Response-Latency，Admin API 返回 {"welcome":"Welcome to kong"}。默认凭据方面：Kong Admin 无认证，Konga 为 admin/admin。
漏洞总览
技能覆盖以下漏洞：
- CVE-2020-11710：Kong <=2.0.3，Admin API 未授权暴露，评级 Critical（9.8）。
- Kong Admin SSRF：全版本，Service+Route 代理 SSRF，危害 Critical。
- CVE-2021-44103：Konga 0.14.9，普通用户提升为管理员，评级 High（8.8）。
- CVE-2025-1087：Insomnia <11.0.2，Nunjucks 模板注入 RCE，评级 Critical（9.8）。
- CVE-2025-1353：Insomnia <=10.3.0，DLL 劫持导致代码执行，危害 Critical。
利用决策树
- 识别 Kong：请求 :8001/ 返回 "Welcome to kong"，或观察到响应头 X-Kong-Response-Latency。
- Admin API（8001）：若未授权访问，可进行 SSRF 代理、读取凭据、完全控制网关。
- Konga（1337）：使用默认凭据 admin/admin，或利用 CVE-2021-44103 提权为管理员。
- Insomnia（桌面端）：利用 CVE-2025-1087 模板注入 RCE。
- 后利用：读取 Services/Routes/Plugins/Consumers，发现后端架构与凭据。
利用链优先级
- Admin API 未授权 → SSRF 代理 → 内部服务/云元数据。
- Admin API → 读取 Services/Routes → 后端架构。
- Admin API → 读取 Plugins → 认证配置。
- Admin API → 读取 Consumers → API Key/凭据。
- Konga 默认凭据 → Admin 权限 → 管理 Kong。
- CVE-2021-44103 → Konga 普通用户提权。
- CVE-2025-1087 → Insomnia RCE（需社工）。
端点与认证参考
- /（Proxy）：端口 8000，用于代理请求，认证取决于路由配置。
- /（Admin）：端口 8001，Admin API，默认无认证。
- /services：端口 8001，服务管理，无认证。
- /routes：端口 8001，路由管理，无认证。
- /plugins：端口 8001，插件管理，无认证。
- /consumers：端口 8001，消费者管理，无认证。
- /status：端口 8001，节点状态，无认证。
- /（Konga）：端口 1337，Web 管理 UI，需登录。
SSRF 速查命令
POST /services name=ssrf url=http://169.254.169.254
POST /routes name=ssrf hosts[]=meta.local service.id=<ID>
curl http://TARGET:8000/ -H "Host: meta.local"
DELETE /routes/ssrf && DELETE /services/ssrf
Konga 提权速查
POST /login → token + user_id
PUT /api/user/<id> → {"admin":"true","token":"<token>","passports":{...}}
参考文档
技能附带三类参考材料：Admin API 未授权 & SSRF 代理攻击详解（含 CVE-2020-11710、Nuclei 模板、SSRF Python 脚本、curl 手动利用）；Konga 提权 & Insomnia RCE 详解（含 CVE-2021-44103 Python 脚本、CVE-2025-1087 利用方式）；Kong 综合检测脚本（一键检测 Admin API、Konga 默认凭据等）。
适用场景与限制
该技能适用于针对 Kong 部署环境的授权渗透测试与安全评估。使用时应确保具备合法授权。具体版本影响范围、脚本可用性与实际效果以目标环境实际情况为准；技能材料未对超出上述范围的场景作出说明。