共计 562 个字符，预计需要花费 2 分钟才能阅读完成。
影响范围 <7.9.3
网站日志漏洞为宝塔在获取 Nginx 日志时无任何过滤，攻击者只需要简单的拼接和转换即可 XSS，在部分函数 [ExecShell 函数] 中使用了 subprocess.Popen 执行了命令，但无任何过滤行为，后台管理者只要访问错误日志必定触发执行 [注：部分开心版的网站防火墙绕过需要转换链接字符才可拼接语句]
面板日志漏洞为宝塔将错误日志和运行日志记录在相同地方，其触发方式于上面相同
–消息来源于网络
漏洞复现和 poc
https://cn-sec.com/archives/1221881.html
有兴趣的可以用 poc 去试试复现
可见宝塔面板的开发人员水平真是稀烂应该不是这个漏洞，这个漏洞比较鸡肋，看日志的不多，还要是那种没安装网站防火墙的情况下才行不用，不关心用 subprocess.Popen，不做过滤，开发刚毕业理解一下两千年的过期消息 跟本次不是一回事原来是这样子啊？不访问日志有没有事，不生产日志能拿到服务器吗？意思就是不访问日志就没事辣鸡宝塔应该不是这个漏洞，这个漏洞比较鸡肋，看日志的不多，还要是那种没安装网站防火墙的情况下才行印象中很久之前的了，看了日期，还真是好几个月前的你这个都几个月的事情了如何加固？
正文完
