年初跟那个前台代码执行一起看到的,这个清晰明朗的代码执行,看到的人估计也不少,好在坚持了这么久一直没人公布,这大半年还用了很多次,可是...可是,最终还是有人忍不住要公布,要知道公布一个就少一个,以后的以后,你们靠什么去拿站呢?

这个后台执行也算对当时那个前台执行遗失的慰藉吧...好歹也存世大半年,怎么讲都还是有点欣慰的...不知道有入侵t00ls服务器的没,是不是很遗憾,t00ls后台年初已经补上这个漏洞了?

其实是老问题了,我也不做过多解释,各位看官有事没事接着挖x1的吧,一旦6.0、7.0、7.1、7.2都挖光了,遇到dz还是绕道吧...

好了,看代码,include/global.func.php:

function sendpm($toid, $subject, $message, $fromid = ) {
    if($fromid === ) {
        require_once DISCUZ_ROOT../uc_client/client.php;
        $fromid = $discuz_uid;
    }
    if($fromid) {
        uc_pm_send($fromid, $toid, $subject, $message);
    } else {
        global $promptkeys;
        if(in_array($subject, $promptkeys)) {
            $type = $subject;
        } else {
            extract($GLOBALS, EXTR_SKIP);
            require_once DISCUZ_ROOT../include/discuzcode.func.php;
            eval("$message = addslashes("".$message."");");//就这里了,老问题
            $type = systempm;
            $message = <div>
.$subject. {time}
.discuzcode($message, 1, 0).
</div>

;
        }
        sendnotice($toid, $message, $type);
    }
}
要想利用,必须第三个参数:$message可控。

利用方法一:

前台注册的时候用到这个函数:

...
    if($welcomemsg && !empty($welcomemsgtxt)) {
        $welcomtitle = !empty($welcomemsgtitle) ? $welcomemsgtitle : "Welcome to $bbname!";
        $welcomtitle = addslashes(replacesitevar($welcomtitle));
        $welcomemsgtxt = addslashes(replacesitevar($welcomemsgtxt));
        if($welcomemsg == 1) {
            sendpm($uid, $welcomtitle, $welcomemsgtxt, 0);//发送论坛短消息,第三个参数在后台被控制,from
        } elseif($welcomemsg == 2) {
            sendmail("$username <$email>", $welcomtitle, $welcomemsgtxt);
        }
    }
...
于是,只要后台控制下注册发送的短消息,即可成功利用该漏洞。

在注册发送短消息的内容里加上:{${phpinfo()}},则可以执行,若要exp,修改年初的那个即是...

利用方法二:

后台member.inc.php可以直接控制$message:

...
    if(in_array($sendvia, array(pm, email))) {
        $query = $db->query("SELECT uid, username, groupid, email FROM {$tablepre}members WHERE $conditions LIMIT $current, $pertask");
                while($member = $db->fetch_array($query)) {
            $sendvia == pm ? sendpm($member[uid], $subject, $message, 0) : sendmail("$member[username] <$member[email]>", $subject, $message);
            $continue = TRUE;
                }
        }
...
修改下表单即可...

至于exp,我不发了,发出来还是本着技术交流...

最后要说的是,此漏洞对7.0及之前版本无效,对x1以后版本貌似也无效;另外,7.0、7.1、7.2某处有点漏洞,但是在x1里面已经悄悄补上了,x1没细看,但已经相当安全了(也许不是绝对)...题外话了...


修复方案:

还是及时升级吧