#1 信息泄露成因
由于腾讯安全人员设计安全加固方案时,考虑到Discuz论坛的data目录会成为黑客频繁写入shell的区域,所以弄了一个安全规则,禁止data/目录下的所有php执行,但是又没有严格教研策略是否生效,直接导致了任意php文件下载风险,从而造成了更严重的信息安全威胁。
#2 泄露内容
文件1:http://bbs.m.qq.com/uc_server/data/config.inc.php
文件2:http://bbs.m.qq.com/uc_server/data/bbs.m.qq.com_config.inc.php
#3 UC_KEY的泄露
我们都知道UC_KEY的泄露是致命的,具体参照:
WooYun: 又一次失败的漫游腾讯内部网络过程 #2
利用Discuz的天生缺陷,前台登陆任意用户
#4 天时地利人和
这里,我们发现一个特别操蛋的细节,你猜是什么?
配置文件内的数据库用户名、数据库密码是那么的随便,有木有?discuz:discuz
于是我尝试了一下admin的密码,结果你们猜怎么着?密码居然是:123456
很明显,连腾讯都难逃这个大公司诟病的宿命: WooYun: 大公司诟病系列#1 重置京东任意用户密码
#5 继续的利用
很多人可能会说了,有管理员的密码,为什么不登陆后台拿shell呢?
http://bbs.m.qq.com/admin.php,其实我也想啊,只可惜加固了,访问不到网络环境!
这样的话,是否该放弃了吗?NO!安全对抗这条路生生不息,思路千千万,总有一条方法能有用!
#6 继续摸索
我发现了Discuz的云平台前台有个:编辑模块管理->应用推荐 功能
http://bbs.m.qq.com/portal.php?mod=portalcp&ac=block&op=block&bid=3
可以插入任意HTML,那就留下一个XSS_ROOTKIT吧!
#7 搞SHELL思路
我们都知道坑爹的Discuz在登陆后台admin.php时,默认是不校验验证码的,只要你有loginhash、用户名、密码就能轻松登陆后台
#8 具体流程图
#9 代码实现
#10 借刀杀人
现在你要做的只是等待,等待一个能够访问admin.php的腾讯内部人员,帮你获取WEBSHELL, COOKIE就算了,哎,这是借刀杀人!