Discuz!X ≤3.4 任意文件刪除漏洞分析

作者：LoRexxar’@知道創宇404實驗室
日期：2017年9月30日
英文版本：https://paper.seebug.org/1101/

Discuz!X社區軟件，是一個採用 PHP 和 MySQL 等其他多種數據庫構建的性能優異、功能全面、安全穩定的社區論壇平台。

2017年9月29日，Discuz!修復了一個安全問題用於加強安全性，這個漏洞會導致前台用戶可以導致任意刪除文件漏洞。

2017年9月29日，知道創宇404 實驗室開始應急，經過知道創宇404實驗室分析確認，該漏洞於2014年6月被提交到 Wooyun漏洞平台，Seebug漏洞平台收錄了該漏洞，漏洞編號 ssvid-93588。該漏洞通過配置屬性值，導致任意文件刪除。

經過分析確認，原有的利用方式已經被修復，添加了對屬性的 formtype 判斷，但修復方式不完全導致可以繞過，通過模擬文件上傳可以進入其他 unlink 條件，實現任意文件刪除漏洞。

登陸DZ前台賬戶並在當前目錄下新建 test.txt 用於測試

核心問題在upload/source/include/spacecp/spacecp_profile.php