XAMPP任意命令执行漏洞（CVE-2020-11107） – 作者:龙渊实验室LongYuanLab

一、漏洞介绍

1、XAMPP简介

XAMPP（Apache+MySQL+PHP+PERL）是一个功能强大的建站集成软件包。这个软件包原来的名字是 LAMPP，但是为了避免误解，最新的几个版本就改名为 XAMPP 了。它可以在Windows、Linux、Solaris、Mac OS X 等多种操作系统下安装使用，支持多语言：英文、简体中文、繁体中文、韩文、俄文、日文等。XAMPP 的确非常容易安装和使用：只需下载，解压缩，启动即可。该软件和phpstudy类似。

2、漏洞成因

在windows下，XAMPP允许非管理员账号访问和修改其编辑器和浏览器的配置，编辑器的默认配置为notepad.exe，一旦修改配置后，则对应的每个可以访问XAMPP控制面板的用户都更改了配置。当攻击者将编辑器的值设置为恶意的.exe文件或.bat文件，与此同时如果有管理员账号通过XAMPP控制面板查看apache的日志文件，便会执行恶意的.exe文件或.bat文件，以此达到任意命令执行。

3、影响范围

Apache Friends XAMPP <7.2.29

Apache Friends XAMPP 7.3.*，<7.3.16

Apache Friends XAMPP 7.4.*，<7.4.4

二、环境搭建

复现主机Windows7

本次下载的版本为XAMPP 7.3.12版本的

下载地址：

https://sourceforge.net/projects/xampp/files/

安装的时候直接一直点击下一步就可以了（根据提示不要安装在C盘，本次实验安装在D盘）

三、漏洞复现

1、查看当前用户admin的权限：

2、使用管理员用户新建low低权限用户（此处win7直接打开cmd窗口运行该命令会出现“发生系统错误5。拒绝访问。”等字样，此时是权限不足，需要打开cmd窗口的时候单机右键选择“以管理员的身份运行”）

net user low 123 /add

3、查看low用户的权限特征

4、注销admin用户，登陆low用户

账户为：low，密码为：123

5、打开文件夹–组织–文件夹和搜索选项–查看–去掉“隐藏已知文件类型的扩展名”选项的√（此步骤是为了将文件后缀名显示出来，我们好进行脚本编写工作）

6、low用户新建add.bat脚本，目的是将low用户添加到administrators组

@echo off

net localgroup administrators low /add

7、low用户找到xampp的位置，运行xampp，并且点击config

8、low用户导入刚刚写的脚本add.bat

9、low用户查看自己的权限信息，现在权限还是没有改变

10、切换到admin用户运行xampp，查看日志信息（此处我直接以admin用户的身份运行该文件无法实现效果，必须单机右键“以管理员的身份运行”XAMPP才能达到这个效果）

11、最后查看low用户的权限信息

备注：

以上实现了low用户从普通账号到管理账号的权限提升，真实环境中该漏洞大概率用于后渗透阶段的权限提升；对漏洞的基本面进行复盘。

此处我需要单击右键“使用管理员权限运行”是因为admin用户是我自己创建的，本身就不是最高权限用户，需要以最高权限运行才行。

利用条件：

1、windows系统

2、装有XAMPP

3、拥有系统普通账户

4、管理员账户通过XAMPP面板查看logs文件。

参考链接：https://www.xampp.cc/archives/9262

原文链接

来源：freebuf.com 2020-09-11 15:55:15 by: 龙渊实验室LongYuanLab