​[[433918]]​

SonarQube是越权一款基于Web的工具，是漏洞一个开源的代码质量管理系统，可帮助开发人员生成没有安全问题、越权错误、漏洞漏洞、越权异常和一般问题的漏洞代码。

如果您在开发一个小项目，越权那可能很容易，漏洞您可以仔细检查代码以发现任何问题。越权SonarQube属于SAST类的漏洞代码检测工具，更侧重于质量检查，站群服务器越权也有一些针对性的漏洞安全检测，比如SQL注入等，越权我用过商业版，漏洞试图利用SAST来发现和解决代码安全问题，越权比较失望。规则库比较弱，自定义能力差，毕竟只是更专注于质量检查。

大背景

近期，境外网站又报道了一些涉及中国多个机构和企业的代码泄漏，就是利用SonarQube的这个API越权漏洞进行的亿华云计算。

(1)The Chinese Ministry of Public Security 

(2) BOSCH 博世 

(3) 梅赛德斯奔驰

SonarQube API 未授权下载源代码漏洞利用过程及原理

SonarSource SonarQube由于存在安全漏洞，攻击者可利用该漏洞通过API设置值URI，发现明文的SMTP和GitLab凭证(tocken)等敏感信息泄露，可导致gitlab中项目的代码可以被任意clone下载，其实这个漏洞在2019年就被发现了。官方修复过一次，但是又出现了新的漏洞，并且一直延伸到7-8-9多个版本。

漏洞细节：

复制漏洞利用过程及证明：

(1)敏感配置泄漏：

以普通用户登陆就可以查看该AP I信息，如下：

GET /api/settings/values HTTP/2

Host: sonar.

(责任编辑：应用开发)