Discuz7.1和7.2 0远程代码执行漏洞Webshell

yDiscuz! Board 论坛系统（简称 Discuz! 论坛）是一个采用 PHP 和 MySQL 等其它多种数据库构建的高效论坛解决方案。

作为商业软件产品， Discuz! 在代码质量，运行效率，负载能力，安全等级，功能可操控性和权限严密性等方面有着良好的口碑。

对于站长而言，利用 Discuz! 均能够在最短的时间内，花费最低的费用，采用最少的人力，架设一个性能优异、功能全面、安全稳定的社区论坛平台。

它能运行于Windows平台和Linux平台，本次要讲解的是只要是注册用户即可轻松获取Webshell

在Discuz！ 7.1与7.2版本中的showmessage函数，由于eval中执行的参数未初始化，可以任意提交，从而可以执行任意PHP命令。

该漏洞的首发是T00ls核心团队，下面来分析下这个远程代码执行漏洞，这个问题真的很严重，可以直接写shell。

漏洞来源
一、漏洞来自showmessage函数

function showmessage($message, $url_forward = '', $extra = '', $forwardtype = 0) {

extract($GLOBALS, EXTR_SKIP);//危险的用法，未初始化的变量可以直接带进函数，直接导致了问题产生，from exehack.net

global $hookscriptmessage, $extrahead, $discuz_uid, $discuz_action, $debuginfo, $seccode, $seccodestatus, $fid, $tid, $charset, $show_message, $inajax, $_DCACHE, $advlist;

define('CACHE_FORBIDDEN', TRUE);

$hookscriptmessage = $show_message = $message;$messagehandle = 0;

$msgforward = unserialize($_DCACHE['settings']['msgforward']);

$refreshtime = intval($msgforward['refreshtime']);

$refreshtime = empty($forwardtype) ? $refreshtime : ($refreshtime ? $refreshtime : 3);

$msgforward['refreshtime'] = $refreshtime * 1000;

$url_forward = empty($url_forward) ? '' : (empty($_DCOOKIE['sid']) && $transsidstatus ? transsid($url_forward) : $url_forward);

$seccodecheck = $seccodestatus & 2;

if($_DCACHE['settings']['funcsiteid'] && $_DCACHE['settings']['funckey'] && $funcstatinfo && !IS_ROBOT) {

$statlogfile = DISCUZ_ROOT.'./forumdata/funcstat.log';

if($fp = @fopen($statlogfile, 'a')) {

@flock($fp, 2);

if(is_array($funcstatinfo)) {

$funcstatinfo = array_unique($funcstatinfo);

foreach($funcstatinfo as $funcinfo) {

fwrite($fp, funcstat_query($funcinfo, $message)."\n");

}

} else {

fwrite($fp, funcstat_query($funcstatinfo, $message)."\n");

}

fclose($fp);

$funcstatinfo = $GLOBALS['funcstatinfo'] = '';

}

if(!defined('STAT_DISABLED') && STAT_ID > 0 && !IS_ROBOT) {

write_statlog($message);

}

if($url_forward && (!empty($quickforward) || empty($inajax) && $msgforward['quick'] && $msgforward['messages'] && @in_array($message, $msgforward['messages']))) {

updatesession();

dheader("location: ".str_replace('&', '&', $url_forward));

}

if(!empty($infloat)) {

if($extra) {

$messagehandle = $extra;

}

$extra = '';

}

if(in_array($extra, array('HALTED', 'NOPERM'))) {

$discuz_action = 254;

} else {

$discuz_action = 255;

}

include language('messages');

$vars = explode(':', $message);//只要含:就可以了

if(count($vars) == 2 && isset($scriptlang[$vars[0]][$vars[1]])) {//两个数字即可，用:分割

eval("\$show_message = \"".str_replace('"', '\"', $scriptlang[$vars[0]][$vars[1]])."\";");//$scriptlang未初始化，可以自定义，from www.myhack58.com } elseif(isset($language[$message])) {