跳转至

CVE-2020-11107 XAMPP任意命令执行漏洞

一、漏洞简介

在windows下,XAMPP允许非管理员账号访问和修改其编辑器和浏览器的配置,编辑器的默认配置为notepad.exe,一旦修改配置后,则对应的每个可以访问XAMPP控制面板的用户都更改了配置。当攻击者将编辑器的值设置为恶意的.exe文件或.bat文件,与此同时如果有管理员账号通过XAMPP控制面板查看apache的日志文件,便会执行恶意的.exe文件或.bat文件,以此达到任意命令执行。

利用条件

  • 1:windows系统、
  • 2:装有XAMPP、
  • 3:拥有系统普通账户、
  • 4:管理员账户通过XAMPP面板查看logs文件。

二、漏洞影响

Apache Friends XAMPP <7.2.29

Apache Friends XAMPP 7.3.*,<7.3.16

Apache Friends XAMPP 7.4.*,<7.4.4

三、复现过程

环境安装

第一部分:首先以管理员身份登录到windows10:

运行cmd查看当前用户,这里的Scarlett即登录的有管理员权限的账户:

安装XAMPP,注意要使用管理员权限进行安装,根据提示不要装在C盘,本次复现安装在D盘,其他按照默认安装即可,最后安装完成如下图所示:

运行cmd,输入如下命令:powershell start-process cmd -verb runas (用powershell启动管理员权限的cmd进程),在管理员权限的cmd上,输入:net user lowuser /add,创建一个普通账号lowuser,通过net user lowuser 可知为普通权限账号:

输入命令net user lowuser * 为lowuser设置密码:

关闭cmd命令窗口,注销管理员权限的Scarlett账户。

漏洞复现

以普通账号lowuser登录到windows10:

输入上面第4步设置的密码,登录lowuser账户:

设置显示文件扩展名和隐藏项目:

创建command.bat文件,输入命令如下,其作用是将lowuser账号加入管理员权限:

@echo off 
net localgroup administrators lowuser /add

运行xampp,并在控制面板上找到config配置。

修改编辑器的默认配置,更改为刚才创建的command.bat文件,添加并应用,如下图所示:

查看lowuser的用户组,还是普通权限,注销lowuser账户。

再次以管理员(Scarlett)登录到windows10:

打开XAMPP控制面板,点击查看logs文件:

2dfbbdb6c5a34d2d91add55959fffdd0

切换到lowuser账户:

运行cmd,查看lowuser用户组,发现已经提升为administators组:

参考链接

https://mp.weixin.qq.com/s?__biz=MzU1ODg3NTMyMQ==&mid=2247490782&idx=1&sn=3c5843a34f4415e25bc0c21388c0e03a&chksm=fc1e8b08cb69021e7da183a3c9e0750cf51f9856fb647eea1f103f41bea609c64f10c9553364&mpshare=1&scene=1&srcid=&sharer_sharetime=1587143054964&sharer_shareid=346bf064ccfaeb680ec3e1af3a4fc9a8&key=64daf1adc09d7c6e5cfb777986ec80c9619f47ef9565c6f0252270416251ea412f230e87b1ec8f3435bc4fb2a9a7b5cfaef4e5e24f07f4ca67b17c37a019205e77237996ec31a74ff713a0436cb2a3a9&ascene=1&uin=MTU0OTU5NDkzMA==&devicetype=Windows+10+x64&version=6209005d&lang=zh_CN&exportkey=AWykz1/C4yy1gXuSSIh8VsI=&pass_ticket=CsmWLKOnF5M0Q2QFomZUfTPJMWXGf5jEVxKfIZtVeWb8bpfTluZvRRNsuVmT2X9Z