一个 discuzX3.4 的漏洞利用代码

ZhanYing 发表于 2021-4-12 20:07
这个dz4.3自从下载就没更新过 怕丢数据模板什么的。。。
之前key是加密的密文 被篡改成了123456 我才发 ...

该升级还是要升级的，不升级的话网站无法得到最新的问题修复，自然容易被入侵。
如果是x3.4的话，是可以直接通过覆盖文件的方式升级的，风险其实不大，记得升级之前做好备份就行。

老周部落 发表于 2021-4-12 11:25
应该是 UC_KEY 泄露导致的问题，不过没有 POC 不好判断。
建议临时给 UC.PHP 文件增加白名单，只允许合法  ...

我怀疑这人的站可能后台都被拿了，因为uc.php早在x3.1时代就加入了对传入的引号进行去除的操作，但它给的这个例子带引号还被转义了

cornersoft 发表于 2021-4-13 00:13
该升级还是要升级的，不升级的话网站无法得到最新的问题修复，自然容易被入侵。
如果是x3.4的话，是可以 ...

能麻烦推一下最新版吗。。。
我找了半天没找到大于3.4版本的dz论坛
谢谢啦...

ZhanYing 发表于 2021-4-13 17:49
能麻烦推一下最新版吗。。。
我找了半天没找到大于3.4版本的dz论坛
谢谢啦...

最新版还是x3.4，但是x3.4是有小版本的，比如最新的x3.4是R20210320。
可以直接在 https://www.dismall.com/thread-73-1-1.html 免登录下载
也可以在本站首页最上面官方发布那里点进去，置顶的红色链接就有20210320，仔细看一下（需要跳转到Gitee并登录）

cornersoft 发表于 2021-4-13 03:10
我怀疑这人的站可能后台都被拿了，因为uc.php早在x3.1时代就加入了对传入的引号进行去除的操作，但它给的 ...

确实，所以他这个确实是说不好，主要这两句话提供不了太多信息。
不过这么看，确实不是 UC.PHP 进来的，估计还是从别处进来的，具体不好说。
而且既没有全流程原始数据包，也不给 POC 。这么大个 Discuz! 纯代码审计一没时间，二不好查啊。

ZhanYing 发表于 2021-4-12 12:45
我网站挂着云盾的防火墙 从云盾看是通过dz的admin.php进来的。。。

admin.php 的话，没有后台权限是肯定打不开的。
说明黑客已经有了您站点能进后台的用户名和密码了，先查查这个。
如果需要我们帮忙查 admin.php 有没有漏洞的话，需要提供给我们完整的行为，不然 Discuz! 这么大代码量，全查一遍要很久很久还未必有收获。

另外这几年 Discuz! 也断断续续修复过一些安全问题，建议直接升级最新版再说。

cornersoft 发表于 2021-4-13 18:50
最新版还是x3.4，但是x3.4是有小版本的，比如最新的x3.4是R20210320。
可以直接在 https://www.dismall. ...

Discuz! X3.4 Release 20180101......
好吧自从下载安装之后确实没更新过= =

跟我类似的情况，uc被黑，admin账号密码被改。也是uc这块被修改。看我主题

gsl301 发表于 2021-4-14 00:46
跟我类似的情况，uc被黑，admin账号密码被改。也是uc这块被修改。看我主题

首先建议更新到Discuz最新版本，然而这还不够，因为你使用老版本的时候可能已经被入侵，泄露了相关数据，所以才会导致不断的被入侵，因此uc_key等关键密钥记得重置一下。
另外记得检查确认，真的是在用最新版本，有些人采用简单覆盖文件的方式升级，文件没覆盖全都没注意到，还自以为已经是最新版了。
服务器方面，除了data目录，头像目录，插件目录以外的区域写权限平时一律关掉，执行权限也可以不给（但个别服务器除外，个别服务器不给执行权限就炸了，那样的话还得给）

Discuz本身还是很安全的，许多站点在服务器配置完善的情况下，常年不更新到最新版也一点事都没有（当然不推荐模仿）

老周部落 发表于 2021-4-13 22:02
确实，所以他这个确实是说不好，主要这两句话提供不了太多信息。
不过这么看，确实不是 UC.PHP 进来的， ...

基本流程应该就是，uc_key被拿，通过uc.php改了密码，之后从admin.php进的，那里的UC_API没有过滤，只加addslashes，特征吻合。整个程序里能修改config_ucenter的也就这么两处了。

不过奇怪的是这个：https://discuz.dismall.com/thread-3855443-1-1.html
前半部分应该过程是差不多的，但它出来的结果里单引号没被转义，双引号被转义了。我试了好几个环境甚至还开了magic quotes都没法复现这个行为，偏偏那还是个新版本（后台有腾讯云字样），太诡异了。