搜索

[14401] 2019-07-28_Discuz!ML3.x任意代码执行漏洞分析

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-18
2019-07-28_Discuz!ML3.x任意代码执行漏洞分析 D i s c u z ! M L   3 . x 任 意 代 码 执 行 漏 洞 分 析 水 木 逸 轩 c o n   F r e e B u f   2 0 1 9 - 0 7 - 2 8 首 先 附 上 米 斯 特 安 全 大 佬 们 文 章 的 首 先 附 上 米 斯 特 安 全 大 佬 们 文 章 的 链 接 链 接 ， 刚 开 始 有 些 东 西 我 没 看 的 太 懂 ， 于 是 我 就 再 添 了 点 东 西 ， 希 望 像 我 一 样 的 小 白 也 能 看 懂 。 ， 刚 开 始 有 些 东 西 我 没 看 的 太 懂 ， 于 是 我 就 再 添 了 点 东 西 ， 希 望 像 我 一 样 的 小 白 也 能 看 懂 。 一 、 漏 洞 综 述 一 、 漏 洞 综 述 漏 洞 类 型 ： 代 码 执 行 漏 洞 影 响 系 统 及 版 本 ： D i s c u z ! M L   V 3 . 2 - 3 . 4 漏 洞 原 因 ： D i s c u z ! M L   系 统 对 c o o k i e 中 的 l 接 收 的 l a n g u a g e 参 数 内 容 未 过 滤 ， 导 致 字 符 串 拼 接 ， 从 而 执 行 p h p 代 码 。 二 、 漏 洞 分 析 二 、 漏 洞 分 析 根 据 米 斯 特 大 佬 们 提 供 的 报 错 界 面 ， 我 对 其 中 的 三 个 报 错 点 一 一 进 行 了 分 析 ， 三 个 报 错 点 如 下 图 所 示 （ 还 有 米 斯 特 大 佬 们 的 水 印 ） 。 2 . 1     报 错 点 一 分 析 报 错 点 一 分 析 发 现 首 先 是 p o r t a l . p h p 函 数 出 错 ， 把 这 张 图 放 大 看 ， 发 现 是 对 c o o k i e 中 的 l a n g u a g e 参 数 进 行 拼 接 而 导 致 的 报 错 ， 根 据 这 个 参 数 的 语 义 判 断 应 该 是 调 用 语 言 模 板 的 时 候 因 为 找 不 到 相 应 的 模 板 而 发 生 的 错 误 ， 那 么 先 定 位 p o r t a l . p h p 报 错 的 第 3 5 行 ， 该 文 件 路 径 ：
紧 接 着 定 位 l i b f i l e 函 数 ， 文 件 加 载 路 径 函 数 。 函 数 介 绍 ： l i b f i l e ( $ l i b n a m e ,   $ f o l d e r   =   ' ' ) ， 包 含 2 个 参 数 : $ l i b n a m e   和   $ f o l d e r ， 该 函 数 读 取 s o u r c e 目 录 下 的 $ f o l d e r 子 目 录 作 为 基 础 部 分 。 l i b f i l e 函 数 源 代 码 如 下 图 所 示 ： D I S C U Z _ R O O T 为 定 义 网 站 根 目 录 的 常 量 ， r e a l p a t h 函 数 为 返 回 绝 对 路 径 函 数 ， 到 此 处 第 一 个 报 错 就 已 经 分 析 完 毕 ， 原 因 是 系 统 因 为 找 不 到 一 个 p h p 文 件 而 报 的 错 。 好 像 第 一 个 错 误 没 有 什 么 用 ， 接 着 开 始 分 析 第 二 个 错 误 。 2 . 2   报 错 点 二 分 析 报 错 点 二 分 析 还 是 先 根 据 错 误 定 位 到 引 用 函 数 文 件 ， 文 件 路 径 s o u r c e / m o d u l e / p o r t a l / p o r t a l i n d e x . p h p ， 然 后 定 位 到 源 函 数 所 在 的 文 件 ， 引 用 的 地 方 好 定 位 ， 位 置 在 / s o u r c e / f u n c t i o n / f u n c t i o n c o r e . p h p ， 直 接 上 图 然 后 这 个 函 数 写 的 还 贼 长 ， 哎 ， 没 得 办 法 ， 这 个 时 候 只 能 靠 运 气 了 ， 搏 一 搏 ， 单 车 变 摩 托 ， 首 先 百 度 ， 这 个 函 数 的 作 用 也 就 是 个 调 用 模 板 的 函 数 。 然 而 这 个 函 数 写 了 1 6 0 行 代 码 ， 找 个 大 表 哥 的 写 的 代 码 注 释 吧 ， 先 扔 个 参 考 链 接 h t t p : / / w w w . d i s c u z . n e t / t h r e a d - 2 7 0 2 1 4 3 - 1 - 1 . h t m l 。 此 时 我 发 现 了 思 路 有 些 繁 琐 ， 然 后 就 去 找 第 三 个 错 误 的 提 示 内 容 ， 为 了 找 到 是 哪 里 出 了 问 题 ， 我 把 这 段 代 码 放 到 了 t x t 文 件 中 ， 根 据 第 三 个 错 误 提 示 的 信 息 开 始 了 全 文 搜 索 ， 终 于 ， 根 据 关 键 字 t p l . p h p 值 搜 索 到 一 处 与 l a n g u a g e 这 个 函 数 语 义 有 关 的 东 西 D I S C U Z _ L A N G 。 例 如   r e q u i r e _ o n c e   l i b f i l e ( ' f u n c t i o n ' , ' p l u g i n / t e s t / ' ) ; 实 际 为   r e q u i r e _ o n c e / s o u r c e / p l u g i n / t e s t / f u n c t i o n . p h p
既 然 是 语 言 参 数 出 了 问 题 ， 还 是 个 常 量 ， 那 就 去 找 找 常 量 定 义 的 地 方 ， 全 局 搜 D I S C U Z L A N G ， 跟 踪 到 / s o u r c e / c l a s s / d i s c u z / d i s c u z a p p l i c a t i o n . p h p 可 以 看 到 ， 将 $ l n g 的 值 给 了 D I S C U Z _ L A N G ， 追 踪 $ l n g 在 何 处 定 义 ， 全 局 搜 索 $ l n g ， 找 到 了 定 义 $ l n g 的 地 方 （ 图 中 第 一 个 箭 头 ） 到 此 为 止 ， 又 出 现 个 v a r ， 这 是 个 啥 ， 我 只 知 道 v a r [ ‘ c o o k i e ’ ] [ ‘ l a n g u a g e ’ ] 的 意 思 就 是 c o o k i e 中 的 l a n g u a g e 的 值 。 以 上 可 以 分 析 出 ， 从 获 取 l a n g u a g e 到 D I S C U Z _ L A N G 拿 到 值 的 过 程 中 ， 并 没 有 对 其 进 行 过 滤 。 那 么 现 在 必 须 确 定 报 错 问 题 是 怎 么 出 现 的 了 ， 看 下 图 ： 出 现 了 这 样 的 代 码 ， 直 接 拼 接 ， 然 后 R C E 拼 接 单 引 号 和 ’ . p h p i n f o ( ) . ’ 按 理 来 说 可 以 R C E 总 结 下 大 概 流 程 从 c o o k i e 中 获 取 了 l a n g u a g e 的 值 ， 然 后 给 了 $ l n g ， 接 着 $ l n g 又 给 了 D I S C U Z _ L A N G ， 系 统 通 过 t e m p l a t e 函 数 调 用 模 板 文 件 ， t e m p l a t e 函 数 执 行 ， 执 行 到 $ c a c h e f i l e 的 时 候 ， 执 行 构 造 的 代 码 。 三 、 漏 洞 复 现 三 、 漏 洞 复 现 访 问 站 点 w w w . * * * . c o m / f o r u m . p h p ， 刷 新 页 面 抓 包 在 l a n g u a g e 参 数 处 ’ . p h p i n f o ( ) . ’ ： $ c a c h e f i l e   = ' . / d a t a / t e m p l a t e / ' . D I S C U Z _ L A N G . ' _ ' . ( d e f i n e d ( ' S T Y L E I D ' ) ? S T Y L E I D . ' _ ' : ' _ ' ) . $ t e m p l a t e i d . ' _ ' . s t r _ r e p l a c e ( ' / ' ,   ' _ ' ,   $ f i l e ) . ' . t p l . p h p ' ; ' . / d a t a / t e m p l a t e / ' . ' . p h p i n f o ( ) . ' . ' _ ' . ( d e f i n e d ( ' S T Y L E I D ' ) ? S T Y L E I D . ' _ ' : ' _ ' ) . $ t e m p l a t e i d . ' _ ' . s t r _ r e p l a c e ( ' / ' ,   ' _ ' ,   $ f i l e ) . ' . t p l . p h p ' ;
返 回 内 容 ： 复 现 成 功 。 看 起 来 复 现 大 佬 们 的 漏 洞 还 是 挺 有 意 思 的 ， 开 心 。 * 本 文 作 者 ： 本 文 作 者 ： 水 木 逸 轩 水 木 逸 轩 c o n ， 转 载 请 注 明 来 自 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理