discuz某插件设计缺陷可前台getshell

原文地址http://0day5.com/archives/3467-----------------------------------------------------------

#插件信息：
http://addon.discuz.com/?@dc_mall.plugin
官方安装量3000+ （已经不少了吧）

#测试环境：
PHP 版本为: 5.2.9-2
magic_quotes_gpc = off

dc_mall.inc.php(漏洞文件)

1. <?php
   
2. 
   
3. if(!defined('IN_DISCUZ')) {
   
4. 
   
5.         exit('Access Denied');
   
6. 
   
7. }
   
8. 
   
9. $_lang = lang('plugin/dc_mall');
   
10. 
    
11. $action = $_GET['action'] ? $_GET['action'] : 'index';
    
12. 
    
13. $version ='Ver 1.1.1';
    
14. 
    
15. $cvar = $_G['cache']['plugin']['dc_mall'];
    
16. 
    
17. $file = DISCUZ_ROOT.'./source/plugin/dc_mall/module/index/'.$action.'.inc.php';//action参数未过滤直接传入$file 后面的用%00截断即可包含任意文件
    
18. 
    
19. 
    
20. 
    
21. if (!file_exists($file)||!$cvar['open']) showmessage('undefined_action');
    
22. 
    
23. $usercredit = getuserprofile('extcredits'.$cvar['credit']);
    
24. 
    
25. $mallnav = C::t('#dc_mall#dc_mall_sort')->getdata();
    
26. 
    
27. $sortid = dintval($_GET['sortid']);
    
28. 
    
29. if(empty($mallnav[$sortid]))$sortid=0;
    
30. 
    
31. @include $file;
    
32. 
    
33. $croppath = DISCUZ_ROOT.'./source/plugin/dc_mall/data/cron.php';
    
34. 
    
35. $cronupdate = @include $croppath;
    
36. 
    
37. if(TIMESTAMP-$cronupdate['timestamp']>$cvar['autotime']*60){
    
38. 
    
39.         require_once DISCUZ_ROOT.'./source/plugin/dc_mall/cache/cache_mallinfo.php';
    
40. 
    
41.         build_cache_plugin_mallinfo();
    
42. 
    
43.         $configdata = 'return '.var_export(array('timestamp'=>TIMESTAMP), true).";\n\n";
    
44. 
    
45.         if($fp = @fopen($croppath, 'wb')) {
    
46. 
    
47.                 fwrite($fp, "<?php\n//plugin mall temp upgrade check file, DO NOT modify me!\n//Identify: ".md5($configdata)."\n\n$configdata?>");
    
48. 
    
49.                 fclose($fp);
    
50. 
    
51.         }
    
52. 
    
53. }
    
54. 
    
55. include template('dc_mall:index/'.$action);
    
56. 
    
57. ?>

复制代码

#包含测试

前台上传带马图片，在直接用包含就成功。

局限性太大了。。