【漏洞复现】phpStudy 小皮 Windows面板 RCE漏洞

---

前言

本篇文章仅用于漏洞复现研究和学习，切勿从事非法攻击行为，切记！

---

一、漏洞描述

Phpstudy小皮面板存在RCE漏洞，通过分析和复现方式发现其实本质上是一个存储型XSS漏洞导致的RCE。通过系统登录用户名输入处的XSS配合系统后台自动添加计划任务实现RCE。

二、漏洞复现

首先去官网下载最新版的小皮Windows面板安装包程序

下载地址：https://www.xp.cn/windows-panel.html

本地环境安装

安装完成之后会弹出一个txt文档，里面包含访问地址，如下所示