Discuz ML! V3.X 代码注入漏洞深度分析

作者:Alpha 天融信阿尔法实验室

0x00 前言

Discuz!ML是一个由CodersClub.org创建的多语言,集成,功能齐全的开源网络平台,用于构建像“社交网络”这样的互联网社区。

该引擎基于Comsenz Inc.创建的着名的Discuz!X引擎开发。

 

0x01 漏洞描述

2019年7月11日, Discuz!ML被发现存在一处远程代码执行漏洞,攻击者通过在请求流量的cookie字段中的language参数处插入构造的payload,进行远程代码执行利用,该漏洞利用方式简单,危害性较大。

本次漏洞是由于Discuz! ML对于cookie字段的不恰当处理造成的

cookie字段中的language参数未经过滤,直接被拼接写入缓存文件之中,而缓存文件随后又被加载,从而造成代码执行

简而言之,如下图流程可以简单的理解该漏洞

首先,通过cookie传入payload,构造好的payload被写入template文件中

接着,这个被插入payload的template.php文件被include,造成代码执行

 

0x02 受影响的系统版本

Discuz! ML v.3.4

Discuz! ML v.3.3

Discuz! ML v.3.2

 

0x03 漏洞分析

本次漏洞是由于Discuz! ML于对于cookie字段的不恰当处理造成的

程序对cookie中的language字段的操作过程,位于sourceclassdiscuzdiscuz_application.php中

在这里,从cookie中取出language值,未经过滤,直接赋值给$lng变量

接着将$lng值赋值给名为DISCUZ_LANG的常量

在Discuz! ML中,在生成cachefile名时,需要使用到DISCUZ_LANG这个常量进行拼接

由于DISCUZ_LANG常量由cookie中传递而来,并未经过任何过滤,因此DISCUZ_LANG常量可控

在程序运行时,Discuz! ML会将template/default/common目录下的默认模板写入缓存

在这个过程中,程序首先会打开并读取位于template/default/common目录下默认模板中的内容:

这里将读取的header.htm模板中的内容赋值给$template变量

再读取默认模板内容之后,程序接下来通过preg_replace_callback方法对模板内容进行替换与修改

在对默认模板内容进行修改时,注意如下图片中操作

上图操作中,会将’$tplfile’, ‘$fname’, “.time().”, ‘$templateid’, ‘$cachefile’, ‘$tpldir’, ‘$file’这些变量值拼接到名为headeradd的变量中

Headeradd变量随后被拼接到$template中

注意这里的headeradd变量

如上图红圈处,这里将cachefile变量拼接到headeradd变量中,间接的将cachfile变量拼接到template中。

还记得cachefile变量吗?

Cachefile变量的值,其中一部分是可控的

例如上图,我们可以在其中插入形如 sc.’phpinfo().’的payload

这个payload随着headeradd变量,被带入template中

接下来,被污染的template值被写入缓存文件中

如上图可见,最终写入的缓存文件名即为cachefile的值,内容即为template值,Payload已经随着headeradd拼接到template而被写入这个缓存文件中

上图这里看起来比较杂乱,简化起来如下图

当缓存文件被注入如上文payload后,再次加载程序,

当程序执行到位于sourcemoduleforumforum_index.php处时:

可见上图432行,会使用include方法包含 template方法的返回值

跟进Template方法,找到其返回值,即是此处被include中的内容

Template方法位于sourcefunctionfunction_core.php

在其654行处,可见返回cachefile路径

cachefile即为上文被植入payload的文件

由此,被插入payload的缓存文件被include,其中构造好的payload被执行,造成代码执行漏洞

 

0x04 修复建议

目前官方没有进行修复,请时刻关注:https://bitbucket.org/vot/discuz.ml/commits/all,等待官方补丁。

(完)