Discuz7.2 faq.php 最新注入漏洞分析

POC:

http://www.xxx.com/faq.php?action=grouppermission&gids[99]='&gids[100][0]=) and (select 1 from (select count(*),concat(version(),floor(rand(0)*2))x from information_schema .tables group by x)a)%23

然后我们本地搭建Discuz7.2进行测试: 然后找到打开faq.php源文件,找到grouppermission的代码(148行开始):

看到,图中报错的注入语句就是上面这句话。所以特别看看这句话前面的代码,也就是我列出来的。
 
首先定义一个数组groupids,然后遍历$gids(这也是个数组,就是$_GET[gids]),将数组中的所有值的第一位取出来放在groupids中。
 
为什么这个操作就造成了注入?
 
discuz在全局会对GET数组进行addslashes转义,也就是说会将'转义成\',所以,如果我们的传入的参数是:gids[1]='的话,会被转义成$gids[1]=\',而这个赋值语句$groupids[] = $row[0]就相当于取了字符串的第一个字符,也就是\,把转义符号取出来了。
 
再看后面,在将数据放入sql语句前,他用implodeids处理了一遍。我们看到implodeids函数:

很简单一个函数,就是将刚才的$groupids数组用','分割开,组成一个类似于'1','2','3','4'的字符串返回。
 
但是我们的数组刚取出来一个转义符,它会将这里一个正常的'转义掉,比如这样:
 
'1','\','3','4'
 
有没有看出有点不同,第4个单引号被转义了,也就是说第5个单引号和第3个单引号闭合。这样3这个位置就等于逃逸出了单引号,也就是产生的注入。我们把报错语句放在3这个位置,就能报错。 exp:

修复方法(一) 此文件为显示论坛帮助用的,功能相对独立,您可以在服务器禁止该文件的访问,或者直接删除他。对论坛常规功能没有任何影响。
  修复方法(二) 使用修复文件:faq.php覆盖您的旧文件,文件下载地址:http://www.discuz.net/forum.php?mod=attachment&aid=MTUwODY4N3w0Nzk1ZDBhNXwxNDA0MzUyNTQ1fDB8MzU3OTkxNQ%3D%3D
  修复方法(三) 手工修复faq.php
用编辑器打开该文件
查找代码:

在下面添加:

参考文章:
http://www.leavesongs.com/discuz72-sql-injection.html
http://www.discuz.net/thread-3579915-1-1.html
http://www.fuckgcd.net/wordpress/archives/437#more-437
 


发表评论

(必填)

(必填)

(以便回访)