Discuz CSRF发帖POC可蠕虫

漏洞概要

缺陷编号:WooYun-2015-0124807

漏洞标题:Discuz CSRF发帖POC可蠕虫

相关厂商:Discuz!

漏洞作者:phith0n

提交时间:2015-07-06 08:59

公开时间:2015-10-04 10:16

漏洞类型:CSRF

危害等级:中

自评Rank:8

漏洞状态:厂商已经确认

Tags标签:

漏洞详情

披露状态:

2015-07-06: 细节已通知厂商并且等待厂商处理中
2015-07-06: 厂商已经确认,细节仅向厂商公开
2015-07-09: 细节向第三方安全合作伙伴开放(绿盟科技、唐朝安全巡航、无声信息)
2015-08-30: 细节向核心白帽子及相关领域专家公开
2015-09-09: 细节向普通白帽子公开
2015-09-19: 细节向实习白帽子公开
2015-10-04: 细节向公众公开

简要描述:

TSRC西安沙龙议题案例之Discuz(影响大量站点,即使修改某文件做过部分防御仍可绕过)。

详细说明:

0x01窃取Token默认安装的Discuz,crossdomain.xml中的allow-access-from为*,所以任意域下的flash均可窃取discuz的Token(formhash),造成csrf。经过统计,常见的八个安全社区:

其中红色的四个在我统计的时候仍然存在该问题。从安全社区的现状即可预估所有Discuz社区的现状,存在漏洞的概率至少在50%以上,而且肯定远比这个值高(毕竟统计的是安全社区,站长和管理员都是相对懂的,就高达50%)。利用蚁逅平台,即可窃取目标Discuz的Token:

上图是利用CSRF窃取的90sec社区用户的formhash。0x02 绕过CSRF防御函数以下代码是Discuz对CSRF的检查函数:

其中主要验证了formhash和refererformhash在0x01中我通过flash即可窃取了,现在考虑怎么绕过referer。绕过方法有2:1.利用空Referer(https -> http)2.利用代码逻辑错误:代码中,满足这个条件strncmp($_SERVER['HTTP_REFERER'], 'http://**.**.**.**', 24) === 0 ,即可不检查referer。而这里我可以构造一个子域名,值为**.**.**.**,如http://**.**.**.**.jjfly.party,将POC放在该域名下,即可绕过referer检查。0x03 构造POC所以,我给出利用POC(这里以CSRF发帖为例):http://**.**.**.**.jjfly.party/game/discuz/csrf.php?domain=**.**.**.**(domain为目标discuz的域名,二级目录则填写localhost/discuz)默认安装最新版Discuz x3.2(最好装根目录,否则crossdomain.xml可能请求不到),受害者登录并访问以上POC,即可自动发表一篇帖子,标题为“hacked by phithon”。演示视频:http://youtu.be/H39rRofr8bg0x04 绕过防御有安全意识的站长可能会修改crossdomain.xml,将其中的*修改为自己的域名,如:

discuz官网就这样修改的。但实际上仍然无法防御CSRF攻击。如何绕过?我们可以将flash后缀修改为.gif或.txt等(其实这里存在一个XSS,我们可以直接上传swf,但因为和本漏洞无关,不多解释,本漏洞不需要上传后缀为swf),作为合法文件传到目标域名下。通过discuz中某些上传方法,可以直接控制上传后的文件内容:http://**.**.**.**/data/attachment/forum/201507/06/024906sfeaii36a9dri6l4.txt所以,我上传了一个swf,将后缀修改为txt。官网演示(证明swf是可以上传并得到路径的):http://**.**.**.**/data/attachment/forum/201507/06/024833ti31fmy4484muxxh.txt为了不影响官网,CSRF发帖就不再官网演示了。本地上传一个:http://**.**.**.**/data/attachment/forum/201507/06/025812up2z4m6ayayt46pm.txt构造POC:http://**.**.**.**.jjfly.party/game/discuz/csrf1.php?domain=**.**.**.**&swf=http://**.**.**.**/data/attachment/forum/201507/06/025812up2z4m6ayayt46pm.txt其中domain是目标域名,swf是刚才上传的flash。访问后依旧可以CSRF,因为这个flash也是本域名下的。浏览器执行flash并不以后缀判断。演示视频:http://youtu.be/VP0N50YThLI这样一绕过,这个CSRF漏洞影响的范围就更广了,据我估计能影响99%的站点。

漏洞证明:

http://youtu.be/H39rRofr8bghttp://youtu.be/VP0N50YThLI

修复方案:

参考土司社区。

漏洞回应

厂商回应:

危害等级:中

漏洞Rank:10

确认时间:2015-07-0610:15

厂商回复:

感谢您提出的问题,我们尽快予以修复

最新状态:

暂无

评价

  1. 2010-01-01 00:00 浅蓝 白帽子 | Rank:131 漏洞数:20)

    前排膜拜p神

  2. 2010-01-01 00:00 anting 白帽子 | Rank:46 漏洞数:6)

    前排-1

  3. 2010-01-01 00:00 围剿 白帽子 | Rank:5 漏洞数:2)

    前排支持 dz啊可是。。

  4. 2010-01-01 00:00 黑翼、 白帽子 | Rank:15 漏洞数:1)

    这个方法helen早就知道了

  5. 2010-01-01 00:00 放开那个漏洞,让我来 白帽子 | Rank:0 漏洞数:0)

    前排膜拜

  6. 2010-01-01 00:00 px1624 白帽子 | Rank:963 漏洞数:126)

    哈哈,的确是好方法。话说这个不是应该算通用型,在漏洞预警区域么?

  7. 2010-01-01 00:00 进击的zjx 白帽子 | Rank:259 漏洞数:20)

    后排顶起

  8. 2010-01-01 00:00 lufsy 白帽子 | Rank:0 漏洞数:0)

    后排顶起

  9. 2010-01-01 00:00 phith0n 白帽子 | Rank:644 漏洞数:62)

    @px1624 [email protected] @疯狗 @finger

  10. 2010-01-01 00:00 range 白帽子 | Rank:69 漏洞数:7)

    前排

  11. 2010-01-01 00:00 Anonymous.L 白帽子 | Rank:27 漏洞数:2)

    @黑翼、 helen是谁?

  12. 2010-01-01 00:00 chock 白帽子 | Rank:114 漏洞数:13)

    已阅,思路清晰,学习了

  13. 2010-01-01 00:00 浩森 白帽子 | Rank:0 漏洞数:1)

    @phith0n crossdomain.xml ?默认配置是 * ...

    (影响大量站点,即使修改某文件做过部分防御仍可绕过)

    也就是 把伪造的swf文件传到站点了?? 不知道是不是的- -说错了 别打我

  14. 2010-01-01 00:00 wefgod 白帽子 | Rank:1438 漏洞数:124)

    @浩森 哦那个就是洞主啊

  15. 2010-01-01 00:00 90Snake 白帽子 | Rank:111 漏洞数:10)

    是洞主在大会讲的绕过token吗

  16. 2010-01-01 00:00 phith0n 白帽子 | Rank:644 漏洞数:62)

    @90Snake 一半是,还有我最后提的思考问题(关于绕过的问题),也在漏洞里

  17. 2010-01-01 00:00 xsser_w 白帽子 | Rank:94 漏洞数:14)

    这个不是Pz发过了么。。。。