189 8069 5689
这篇文章将为大家详细讲解有关怎么进行Discuz! X任意文件删除的漏洞分析，文章内容质量较高，因此小编分享给大家做个参考，希望大家阅读完这篇文章后对相关知识有一定的了解。
站在用户的角度思考问题，与客户深入沟通，找到古丈网站设计与古丈网站推广的解决方案，凭借多年的经验，让设计与互联网技术结合，创造个性化、用户体验好的作品，建站类型包括：成都网站制作、做网站、外贸营销网站建设、企业官网、英文网站、手机端网站、网站推广、主机域名、网站空间、企业邮箱。业务覆盖古丈地区。
0x00 背景介绍
Discuz 官方于2017年9月29号在Git上提交更新:优化 加强安全性。360CERT跟进了此更新并确认存在任意文件删除漏洞。
0x01 漏洞描述
此漏洞曾在2014年被提交到乌云Wooyun平台，Discuz进行了针对性修复。但360CERT通过此次commit分析，由于之前的修复不完全，可导致补丁被bypass，攻击者登录后可以通过设置个人资料为删除文件路径，并构造一次文件上传，就可以绕过补丁造成任意文件删除。
0x02 漏洞攻击影响
影响面
普通注册用户即可实现任意文件删除。经过360CERT研判后确认，漏洞风险等级高。
影响版本
Discuz! X3.4
Discuz! X3.3
Discuz! X3.2
Discuz! X2.5
修复版本
码云平台Discuz!X
commit 7d603a197c2717ef1d7e9ba654cf72aa42d3e574
0x03 漏洞详情
1、技术细节
可以看到在14年修复的打的补丁：
$_G['cache']['profilesetting'][$key]['formtype']== 'file'对formtype类型做了验证。
查看昨日commit，一共删除了五处unlink文件删除函数，其中对228行unlink函数做的限制最少。
在spacecp_profile.php里有文件上传处理函数，其中使用$upload->get_image_info($attach['target'])
对上传文件进行检查，如果不是图片则continue跳过，所以需要上传为图片类型。
删除文件名为$space[$key],也没有进行安全处理
只需要在前一次提交数据对参数进行进行保存，比如真实姓名处填写删除文件名../../../robots.txt,数据库中的realname就会被保存为../../../robots.txt,再次请求上传文件，就会触发并删除文件.
0x04 修复建议
按照官方Git更新，彻底删除spacecp_profile.php下unlink处代码
关于怎么进行Discuz! X任意文件删除的漏洞分析就分享到这里了，希望以上内容可以对大家有一定的帮助，可以学到更多知识。如果觉得文章不错，可以把它分享出去让更多的人看到。