Pagoda是近年来刚刚出现的服务器面板。它在主要代购源码网站管理员中非常受欢迎。 Windows2003 windows2008windosws 2012系统，linux centos deepin debian fedora系统可以使用宝塔面板来管理服务器。 Pagoda只需点击一下即可部署代购源码网站。环境，IIS环境构建，Nginx环境，PHP环境构建，apache jsp环境，mysql数据库，oracle数据库构建，以及一键设置FTP帐户密码，文件面板在线管理可以非常简单地使用宝塔来构建。

在2018年10月11日，Pagoda Linux更新到6.0版。 linux pagoda面板中添加了许多新功能。面板中还有更多功能。仍然存在一些漏洞。这是不可避免的。在实际的安全检测中，找到了Linux。 6.0面板中存在一个漏洞，相当于早期的5.0或更高版本，并且存在Pagoda XSS存储漏洞。

问题出现在宝塔的控制面板系统的安全性中。默认用户登录失败将记录在宝塔的系统安全性中。我们来看看下面的代码：

此代码中生成此漏洞。从代码中可以看出，代码首先确定它是否是正确的用户名和密码，然后判断验证码以确定登录失败IP是否具有登录失败的其他日志记录。如果该值大于1 Logging，宝塔的系统安全将自动记录多个用户名和密码，从Pagoda数据库中读取当前Pagoda管理员的帐户密码，相互比较，如果没有比较成功，将返回一个不正确的值。最关键的代码是当帖子登录到Pagoda面板时，代码被写入专门写入系统安全日志的函数。通过追逐函数，这个函数是写日志，定义teyp然后定义args的函数，它从代码值传递并写入宝塔的系统安全日志。在此代码值中可以插入恶意参数，写入系统安全日志，此处生成XSS存储漏洞，可以构造xss以获取管理员的帐户密码和cookie值，当服务器管理员点击后台系统时安全性会导致宝塔易受触发的漏洞。

让我们测试一下这个宝塔的漏洞。首先输入宝塔的地址。默认为服务器IP，888端口，然后输入帐号密码，可以自由输入，当输入错误时，再次登录就是输入验证码。在这里，您可以编写XSS攻击代码，警报（'网络安全测试'）

当管理员登录后台并单击安全性时，将弹出安全测试提示框。通过构建精心准备的xss代码，您可以获取当前管理员的cookie值，并将此值直接复制到后台。

目前，宝塔linux面板漏洞，官方已经急需修复，很多使用宝塔面板的服务器都没有得到修复和升级，希望服务器管理员尽快将宝塔升级到最新版本。

« 高端代购源码网站建设成功的首要因素是规划设计团队的综合水平 | 云南昆明，你的班级whatsapp集团控制营销策略你必须了解一些事情 »