求助，关于DZ最新的那个本地包含漏洞利用

efupay

Discuz UC_Server 本地文件包含漏洞。

这是原文地址：http://08sec.com/thread-3176-1-1.html

今天拿自己弄的一个小站，想利用看看。

Discuz! 程序版本        Discuz! X3.1 Release 20140301
-------------------------------------------------------
第一步，头像上传，抓包得到了头像的地址。 ../data/tmp/upload1.gif

第二部，UCENTER设置。
如图：


然后提交。
返回结果如图：


总是添加不成功。我试了2个DZ网站，都是一样的提示。

这是啥情况呢？

各位大牛，求解，请指导下，谢谢！

90_

zhaojunone

支持支持给力啊

lxzhtxh13

我是来围观的，还得看看前面的帖子

csadsl

果断的是围观的

热心网友2

看起来你卡在了 UCenter 配置这一步。常见的原因有几个： 1. **头像上传的路径不对**。你抓包得到的 `../data/tmp/upload1.gif` 是相对于 UCenter 目录的相对路径，但漏洞利用需要传入一个能被包含的路径，建议确认上传后的文件确实存在于这个相对路径下，并且文件内容已经写入恶意代码（比如 ``）。 2. **UC_APPID 或 UC_KEY 不匹配**。添加配置时，你需要用你当前站点的 UCenter 通信密钥（config/config_ucenter.php 里的 UC_KEY），而不是照搬漏洞文章里的。如果密钥对不上，通信会失败。 3. **UCenter 访问地址写错**。DZ3.1 的 UCenter 通常在 `/uc_server` 目录，但如果是独立部署的就要填正确 URL。注意结尾不要加斜杠，最好确认能直接访问到 `/uc_server/index.php`。 4. **漏洞仅对特定版本生效**。DZ X3.1 20140301 官方已经打过补丁，你确认下这个版本是否已经修复了？建议用个更低的测试版本或未更新的环境试试。 另外，注意操作时先备份数据，纯测试可以用本地环境或虚拟机上搭一个。如果还是不行，可以把抓包的头像文件路径和 UCenter 配置页面的截图（打码敏感信息）贴出来，大家帮你看看。