宝塔 Linux 面板 (BaoTa Panel) 代码安全审计报告

• 审计对象: 宝塔 Linux 面板 v11.8.0 源码(约 1042 个 Python 文件 / 43 万行)
• 审计日期: 2026-08-11
• 审计范围: 反序列化、命令执行/RCE、SQL 注入、未授权访问、硬编码凭据、XSS、SSRF、越权/IDOR 等可获取系统/用户/应用权限或数据的问题
• 运行环境: Flask + gevent WSGIServer,以 root 权限运行于 /www/server/panel

⚠️ 前置说明:本面板按设计即以 root 运行,本身就是一个"登录后等于 root"的管理系统。因此本次审计的核心风险判断标准是:漏洞是否能让攻击者突破其原本拥有的权限边界——即未认证访问、低权限子账号提权到 root、或从"仅操作数据"升级为"执行系统命令/读取系统文件"。

风险总览

一、反序列化

1.1 【低危】pickle 反序列化汇点(需前置条件链)

1.2 【低危】task.py pickle.loads(MD5 完整性校验保护)

1.3 【信息】PluginLoader 动态库非 pickle

class/PluginLoader.x86_64.Python3.7.so 经 strings 分析:含 AES 加密(_ZN3AES7EncryptEPKcPcli)、db_encrypt/db_decrypt、base64、rapidjson、popen/system 符号——为 AES 加密插件加载器,不存在 pickle 反序列化接口。

反序列化小结:三个潜在汇点均需"先获得文件写入 + 键名/完整性控制"的前置条件,而获取该前置条件本身已经是更严重的漏洞。无反序列化直接可利用的 RCE。

二、命令执行 / RCE

前提:public.ExecShell()(class/public.py:633)默认 shell=True。以下所有 ExecShell 汇点均已确认。

2.1 🔴【严重】多控制器命令注入(面板任意命令执行)

面板存在 15 处以上 用户参数直拼 shell 的汇点,任意登录用户(含低权限子账号)均可通过 /system、/files、/ftp、/cron、/database、/plugin、/ssl 等路由触发,获取 root 权限。其中已在源码中逐一核实的:

攻击示例(2.1-#1 ServiceAdmin):

GET /system?action=ServiceAdmin&name=nginx%3Bid%3B&type=start
# 实际执行: /etc/init.d/nginx;id; start  →  root 权限执行 id

根因:面板功能层对业务参数(服务名、版本号、权限、IP 列表、压缩包密码、站点名)缺少统一的 shell 元字符过滤,只对部分参数做局部校验,且各控制器零权限归属校验(见第五节)。

三、SQL 注入

3.1 🔴【严重】/data getKey — 读取任意表任意字段(SELECT 列/表名注入)

3.2 🔴【严重】/data GetSql — log_type 直拼 WHERE

3.3 🔴【严重】/database GetMysqlUser — MySQL root 查询注入

SQL 注入小结:三处均为最直接的字符串拼接型注入,经 public.M() ORM 层(仅 where(param) 值参数化,field/table/order/limit 全裸)与直连数据库函数,可读面板用户密码哈希与 MySQL root 数据。均需登录(经 comm.local()),但低权限子账号同样可触发(控制器无权限归属检查)。

四、SSRF

4.1 🟠【高危】/cron check_url_connecte — 任意 URL 请求(内网探测)

4.2 🟡【中危】/site check_ssl — 443 端口连接探测

五、越权 / IDOR(权限边界突破)

5.1 🔴【严重】Referer 缺失绕过子账号菜单鉴权

5.2 🔴【严重】set_temp_login — 子账号/任意用户创建临时登录 → 全面板权限

5.3 🟠【高危】set_admin_path — 无 uid 校验修改面板路径并重启

5.4 🟠【高危】IDOR — 数据库/站点/FTP 操作无归属校验

所有站点/数据库/FTP 管理接口(删除站点 DeleteSite、改 FTP 权限等)均不校验操作对象归属。低权限子账号可:

• 删除/修改其他子账号甚至管理员的站点(DeleteSite 无 owner 校验)
• 查看/导出任意站点配置、数据库备份
• 修改任意 FTP 用户权限

六、未授权访问 / 任意文件读写

6.1 🔴【严重】/download — 认证后任意文件下载(root)

6.2 🟠【高危】/down/<token> — 预认证任意文件分享

6.3 🔴【严重】/files download_file — 回收站路径穿越任意文件读取

6.4 🟡【中危】/static/、/code 仅检查 session 键存在性

6.5 🟡【中危】/mail_sys/send_mail_http.json 未认证分支

6.6 🟡【中危】get_module_template — 路径穿越读取任意 .html

七、XSS

7.1 🔴【严重】存储型 XSS — 未认证 User-Agent → 管理员登录日志页

7.2 🔴【严重】存储型 XSS — 操作日志内 raw innerHTML 渲染

7.3 🟠【高危】系统级 XSS 渲染缺陷 — bt_tools.table type:'text' raw HTML

utils.js 的表格组件对 type:'text' 列不做 HTML 转义(仅 type:'html' 才显式渲染)。任何后端返回的未转义字段(站点名、FTP 文件名、日志内容、备注、域名)在 type:'text' 列中均可执行 HTML/JS。这是一个系统级放大器,令所有后端未转义回显点都升级为存储型/反射型 XSS。

7.4 🟡【中危】FTP 操作日志文件名回显

class/ftplog.py:391-493 get_action_log 将 FTP 日志行中的 file 字段(攻击者可控的 FTP 文件名)原样返回;前端 templates/default/ftp.html:255-272 用 type:'text' 渲染 → 存储型 XSS。

7.5 【低危】xsssec 过滤分析

public.xsssec/xsssec3(class/public.py:2111/2121)将 < > " ' 替换为全角字符,对 HTML 正文场景可阻断标签注入;但 & 未处理,且错误页 panel_error.html 为 .format() 模板——在属性/URL 上下文中仍存在绕过空间,属低危残留。

八、硬编码凭据

8.1 🟢【低危】login_token 默认值 '1234567890'

8.2 🟢【低危】API token 默认兜底

class/panelApi.py set_token:token_crypt 缺失时重新生成随机 token,默认 config/api.json 中 token 为空串时理论上存在空 token 风险,但代码路径会在开启 API 时强制生成随机 token,实际被 t_type=='2' 分支兜底 → 无法真实空态利用。

九、其他

9.1 🟡【中危】zip-slip — tar 解压路径穿越

9.2 🟡【中危】panelTask 任务队列二次注入

class/panelTask.py:189(wget)/:212(cp)/_zip(442-463)/_unzip(583-622):任务队列中的 task_shell/other 以单引号包裹但未转义,存储值中若含单引号可闭合注入。需任务写入前置(通常本身需要面板权限)。

9.3 🟡【中危】panelPlugin 插件安装命令注入

class/panelPlugin.py:442(input_package→bash {})、:3906-3916(input_zip cp -a -r {tmp_path}/*)、:2957(install version 入库)、:3017-3019(uninstall)等多处插件安装参数直拼 shell。需已登录(插件安装本身是面板功能)。

9.4 🟢【低危】crontab GetShell 设计性风险

class/crontab.py:1518-1599:计划任务 shell 本身就是"root 执行用户脚本"的设计功能——任何可建"shell 类任务"的账号即可 root RCE。这与 2.1-#8 的 second 参数注入(独立绕过)不同,核心风险是子账号是否有建 shell 任务的权限被 5.1/5.2 绕过。

十、攻击链组合(严重度最高)

以下链使"未认证 → root RCE"成为可能,是本次审计最重要的结论。

链 A:子账号 → root RCE(完全利用 5.1+2.1)

低权限子账号登录
  → 5.1 Referer 绕过(无 Referer 直连)跳过菜单鉴权
  → 2.1-#1 ServiceAdmin(name 注入) / 或 files.ExecShell
  → root 命令执行

链 B:子账号 → 幽灵 uid → 完整面板

低权限子账号登录
  → 5.2 set_temp_login(无 uid 校验)生成临时 token
  → userlogin.request_temp 设置 session['uid']=101(幽灵 uid)
  → 权限表查询为空 → 跳过所有菜单鉴权 → 完整 root 面板(含终端、文件、数据库)

链 C:未认证 → 存储型 XSS → 管理员会话

任意访客发送恶意 User-Agent 的登录请求
  → 7.1 写入 client_info(未认证触发)
  → 管理员打开登录日志页
  → 7.1+7.2 raw HTML 渲染 → 执行 JS
  → 以管理员 session 调用 2.1 任一命令注入 → root RCE

链 D:认证(任意子账号) → 任意文件读取

5.1/5.2 获得面板访问
  → 6.1 /download(filename=../../etc/shadow) 或 6.3 download_file(rname=../../etc/shadow)
  → 读取 /etc/shadow、面板数据、SSL 私钥

十一、修复建议(按优先级)

附录:已排除/降级项