开发者社区> 幸运券发放> 正文
阿里云
为了无法计算的价值
打开APP
阿里云APP内打开

宝塔漏洞 XSS窃取宝塔面板管理员漏洞高危

简介: 宝塔是近几年刚崛起的一款服务器面板,深受各大站长的喜欢,windows2003 windows2008windosws 2012系统,linux centos deepin debian fedora系统都可以使用宝塔的面板来管理服务器,宝塔可以一键部署网站的环境,IIS环境搭建,Nginx环境,PHP环境搭建,apache jsp环境,mysql数据库,oracle数据库搭建,以及一键设置FTP账户密码,文件面板在线管理都可以很简单的利用宝塔搭建起来。
+关注继续查看

宝塔是近几年刚崛起的一款服务器面板,深受各大站长的喜欢,windows2003 windows2008windosws 2012系统,linux centos deepin debian fedora系统都可以使用宝塔的面板来管理服务器,宝塔可以一键部署网站的环境,IIS环境搭建,Nginx环境,PHP环境搭建,apache jsp环境,mysql数据库,oracle数据库搭建,以及一键设置FTP账户密码,文件面板在线管理都可以很简单的利用宝塔搭建起来。

2018年10月11日宝塔Linux更新到6.0版本,很多新功能加入到linux宝塔面板中,面板的功能再多,还是会存在着一些漏洞,这也是无法避免的,在实际的安全检测当中发现linux 6.0面板存在着漏洞,相当于早些5.0以上版本,存在着宝塔XSS存储性漏洞。

问题发生在宝塔的控制面板系统安全这里,默认用户登录失败会记录到宝塔的系统安全里

漏洞的产生就是在这个代码里,通过代码可以看出代码首先判断是否是正确的用户名密码,再来判断验证码,判断登录失败的IP是否还有其他登录失败的日志记录,如果这个值大于1就日志记录一下,宝塔的系统安全会自动将大于1的用户名以及密码都进行了日志记录,从宝塔的数据库中去读取当前宝塔管理员的账户密码,来进行互相对比,如果没有对比成功,就会返回一个错误的值。最关键的一个代码就是当post登录宝塔面板的时候就会将code写入到专门写系统安全日志的一个函数里面去,通过对其函数的追逐发现,这个函数就是写日志的功能,定义teyp然后再定义args,从code值传递过来就写进了宝塔的系统安全日志当中去。 在这个code值中可以插入恶意的参数,写进系统安全的日志中,XSS存储漏洞就在这产生了,可以构造xss获取管理员的账户密码以及cookies值,当服务器的管理员点击后台的系统安全,就会使宝塔漏洞触发。

我们来测试一下这个宝塔漏洞,首先输入宝塔的地址,默认都是服务器IP,888端口,然后输入账户密码,随意输入,当输入错误的时候,再次登录就是输入验证码。在验证码这里可以写XSS攻击代码,alert('网站安全测试')

当管理员登录后台,点击安全,就会弹出安全测试的提示框。构造精心准备的xss代码就可以获取到当前登录的管理员cookies值,复制这个值直接进后台操作即可。

目前宝塔linux面板漏洞,官方已经紧急修复,很多使用宝塔面板的服务器还没有修复升级打补丁,希望服务器的管理人员尽快的升级宝塔到最新版本。

原文地址https://www.admin5.com/article/20181112/884474.shtml

版权声明:本文内容由阿里云实名注册用户自发贡献,版权归原作者所有,阿里云开发者社区不拥有其著作权,亦不承担相应法律责任。具体规则请查看《阿里云开发者社区用户服务协议》和《阿里云开发者社区知识产权保护指引》。如果您发现本社区中有涉嫌抄袭的内容,填写侵权投诉表单进行举报,一经查实,本社区将立刻删除涉嫌侵权内容。

相关文章
什么是状态管理工具?(vuex)
什么是状态管理工具?(vuex)
29 0
Jdbc模板、事务管理
第一步用maven引入jdbc模板:注意引入的是Spring jdbc模板 第二步创建DataSource对象bena(用的话直接调用就行了) 懂就行了 jdbc模板查询巨麻烦mybatis好一点 更新语句用了Spring为我节省了好多操作例如:Connection、PreparedSta.
931 0
用 ThreadLocal 管理用户session
早在JDK 1.2的版本中就提供java.lang.ThreadLocal,ThreadLocal为解决多线程程序的并发问题提供了一种新的思路。使用这个工具类可以很简洁地编写出优美的多线程程序。 ThreadLocal很容易让人望文生义,想当然地认为是一个“本地线程”。其实,ThreadLocal并不是一个Thread,而是Thread的局部变量,也许把它命名为ThreadLoc
1042 0
05_学生管理系统,xml读写,布局的综合应用
 最终要做的项目目标:   2、编写Android清单文件AndroidManifest.xml <?xml version="1.0" encoding="utf-8"?> <manifest xmlns:android="http://schemas.android.com/apk/res/android"     package="co
948 0
2.Magicodes.NET框架之路——策略管理
闲话策略 策略,有很多解释。但鄙人个人比较看重这点: 策略,是为了实现某个目标或者针对某些问题而制定的应对方案,以最终实现目标。比如为实现生娃而XXOO。 因此在本框架中,策略(Strategy),则是为了实现某些功能或者处理某些特定问题而制定的通用方案或者规则。
788 0
+关注
幸运券发放
阿里云代金码bieryun.com
369
文章
3
问答
文章排行榜
最热
最新
相关电子书
更多
低代码开发师(初级)实战教程
立即下载
阿里巴巴DevOps 最佳实践手册
立即下载
冬季实战营第三期:MySQL数据库进阶实战
立即下载