Destoon cms前台getwebshell

admin

+ y$ y ? O+ _' s% X

前言 ' D2 ~1 r, F% V. s

; e P1 ~& D" Y

2018年9月21日，Destoon官方发布安全更新，修复了由用户“索马里的海贼”反馈的一个漏洞。

& D, h) K r u$ E+ O! `   8 i" b/ r5 Y3 H; Z' p. o

/ V5 }7 r. e* D8 G c5 a

9 d8 C4 t1 D$ M7 J 漏洞分析

5 |! {% n; }. e 根据更新消息可知漏洞发生在头像上传处。Destoon中处理头像上传的是 module/member/avatar.inc.php 文件。在会员中心处上传头像时抓包，部分内容如下：

  - A: U" K5 M, A7 m1 A

对应着avatar.inc.php代码如下：

/ J: e1 l5 e2 M <?php defined('IN_DESTOON') or exit('Access Denied');login();require DT_ROOT.'/module/'.$module.'/common.inc.php';require DT_ROOT.'/include/post.func.php';$avatar = useravatar($_userid, 'large', 0, 2);switch($action) { 8 b; U: G! G, W; G& T3 `. ?. Y4 V0 J

/ f% m2 n T3 h) E5 E5 r8 B5 I/ S

    case 'upload': 0 o8 k- ~: |! q8 b, y) s7 {

        if(!$_FILES['file']['size']) { ( z" }3 U, r6 Q

. P& c: ^% |9 O

( }. f; z3 c6 G" H             if($DT_PC) dheader('?action=html&reload='.$DT_TIME);

* \4 R% g1 B0 }             exit('{"error":1,"message":"Error FILE"}'); ) x4 O4 {2 g i, v

        } / G, [" }% Y6 q3 x# f

, A) H4 k- l k: N$ c0 ^

' B% N3 B L# ~$ X9 N8 N         require DT_ROOT.'/include/upload.class.php';

 

) `4 J' O4 E% Q5 Y2 s         $ext = file_ext($_FILES['file']['name']);

" I4 G9 O0 u2 r+ C; s: n

% J; V6 o& J9 V+ i! M% m         $name = 'avatar'.$_userid.'.'.$ext;

* g7 r$ D! y+ A7 O, T

2 }% Q1 s- l) K* X         $file = DT_ROOT.'/file/temp/'.$name; ! c1 v2 J* N' [, B5 l

5 H) G. m. E- d" v

2 }6 c1 R( ?1 w b8 b' a, B  

9 u4 [0 f1 w, t' C* U, B& y

        if(is_file($file)) file_del($file);

& q7 \. W& L& L: n# M/ f/ L

9 `1 K! J& a* r7 I2 g         $upload = new upload($_FILES, 'file/temp/', $name, 'jpg|jpeg|gif|png');

k$ S/ [# ^2 V! r

9 f/ h: q3 |) y% o6 R  

        $upload->adduserid = false; 5 Q, F, Q! E8 x7 U

% }& r3 t4 Q0 B' u( q5 o0 |

' ^8 C$ l" \# @1 q# ^& K   6 n! e! C! A6 o1 @

8 w* ^) S5 ~# g/ {9 I/ Z' q

        if($upload->save()) {

/ J2 e5 g& I5 U3 E" r: z& m7 ~, Z% m             ... , {4 N' C# L& P8 D+ J

        } else { - O" W* h# o4 X/ D+ c p

! [! m2 C6 t2 m0 \* e             ... , o6 x' ]' I: d/ q

        } ) {) H U( e/ Y+ `( O# w0 a

: O# E7 A& `2 N# U$ C- n

    break;

m% @$ E& {2 X- Q: F

; n% p- I# ^/ R# W, w5 e8 f; ^/ T 这里通过$_FILES['file']依次获取了上传文件扩展名$ext、保存临时文件名$name、保存临时文件完整路径$file变量。之后通过new upload();创立一个upload对象，等到$upload->save()时再将文件真正写入。

8 ]& R* ?: F6 v; T5 |+ D' B) m' t: u

upload对象构造函数如下，include/upload.class.php:25：

7 D$ ]! k5 \* g" ^' F <?phpclass upload {

6 i a3 ^# g- |7 T- X

( ^1 f3 B2 t5 c8 U+ v     function __construct($_file, $savepath, $savename = '', $fileformat = '') { ; R6 R3 s; {$ h1 U' D/ Z

7 S2 @& S N( Z) f( U

        global $DT, $_userid;

1 c( F( t! r+ H7 ?

7 @+ p4 J1 a% B         foreach($_file as $file) {

% h1 `; m) E. `6 l- ? {! U3 Z

            $this->file = $file['tmp_name'];

% Y' t2 L. {+ b+ t

+ \5 Y& o* T8 K Q. l             $this->file_name = $file['name'];

2 W# q0 v+ j4 p2 A p! d" f             $this->file_size = $file['size']; 3 a$ O% @! a1 A2 I o& e) U, l1 S

            $this->file_type = $file['type'];

            $this->file_error = $file['error'];

0 Y9 }! E. D* \/ W2 o- n

 

- _2 k: X7 O- d B

" S2 x7 W" z% P0 l5 v9 n% u         } / a. H) y$ W4 V( S( I

: ?2 x. I; O) J* s* Q

        $this->userid = $_userid;

; j, }0 Z2 s2 H; N8 S/ T* L: Y

        $this->ext = file_ext($this->file_name);

4 J0 T: L# k# z) B6 _$ p3 p

        $this->fileformat = $fileformat ? $fileformat : $DT['uploadtype']; ' X. V9 X2 B" S7 ?' f# ~+ `0 ~8 r, @

/ h, E& O# {' h* ?! R+ l: o3 k         $this->maxsize = $DT['uploadsize'] ? $DT['uploadsize']*1024 : 2048*1024;

1 p+ I2 ~$ N! h! T) @# C

        $this->savepath = $savepath; 7 p- ]6 A) |* h9 A" }+ @1 y' I% M; o/ O

* _/ M6 V7 j* ~* ]

        $this->savename = $savename;

4 T+ J1 y: ~4 J% m2 ^     }}

# y5 `- I( b# F& N

: s. r$ r7 l/ G; L6 k9 I 这里通过foreach($_file as $file)来遍历初始化各项参数。而savepath、savename则是通过__construct($_file, $savepath, $savename = '', $fileformat = '')直接传入参数指定。

) C8 C% c" L; @! Q% E) M 因此考虑上传了两个文件，第一个文件名是1.php，第二个文件是1.jpg，只要构造合理的表单上传（参考：https://www.cnblogs.com/DeanChopper/p/4673577.html），则在avatar.inc.php中

$ext = file_ext($_FILES['file']['name']); // `$ext`即为`php` $name = 'avatar'.$_userid.'.'.$ext; // $name 为 'avatar'.$_userid.'.'php'$file = DT_ROOT.'/file/temp/'.$name; // $file 即为 xx/xx/xx/xx.php ! z$ P4 q, y6 x. q

1 d$ h9 [2 K& ~4 O! P% Q, Z P

而在upload类中，由于多个文件上传，$this->file、$this->file_name、$this->file_type将foreach在第二次循环中被置为jpg文件。测试如下：

3 r* R2 w/ r4 j! N   0 ^( m! ~! ^4 O8 z

& l/ U6 d/ f3 z4 w% n# S* ^

回到avatar.inc.php，当进行文件保存时调用$upload->save()，include/upload.class.php:50: : ~) u' N& t. f [! c2 _' b. b

s/ L( z* H0 p: o U <?phpclass upload {

    function save() { ; c- S* `' B) z( X/ x' B

: H2 m9 k+ X/ a/ R. l, v( J; m

* ?4 W0 k, z: p/ U! `         include load('include.lang'); 9 J' t7 R. j1 v& M5 ?9 w

/ i2 ~% W5 V3 E! D% Q7 Q

5 `: W3 q% a: c% r9 H c         if($this->file_error) return $this->_('Error(21)'.$L['upload_failed'].' ('.$L['upload_error_'.$this->file_error].')');

. o# c& `( r' \- @9 a

 

4 K( B9 ~% ]$ l$ g" E

        if($this->maxsize > 0 && $this->file_size > $this->maxsize) return $this->_('Error(22)'.$L['upload_size_limit'].' ('.intval($this->maxsize/1024).'Kb)');

 

        if(!$this->is_allow()) return $this->_('Error(23)'.$L['upload_not_allow']); \! B! B% q% m% t T5 l/ R+ h# w

  2 v! T) m7 m6 i

8 w" I9 |; a; u1 i* Z$ Y/ h: |$ h0 g         $this->set_savepath($this->savepath); ' ^4 m C$ s+ o8 g3 m

        $this->set_savename($this->savename); 3 H2 `( ]3 ]; C+ k

( j& b, A* B; G) j2 A  

. Z5 O$ k8 _' b7 i. x; S/ }4 T$ p* f

, z' C7 p0 W7 x. }3 a) q% y         if(!is_writable(DT_ROOT.'/'.$this->savepath)) return $this->_('Error(24)'.$L['upload_unwritable']);

0 a; ^' y1 \2 c" w! v! C q# ?         if(!is_uploaded_file($this->file)) return $this->_('Error(25)'.$L['upload_failed']); / o' s& \$ e# L, N1 m6 w. \- [

0 Z+ g" i- R0 C

& p' F7 ^, x7 W( m: g! m         if(!move_uploaded_file($this->file, DT_ROOT.'/'.$this->saveto)) return $this->_('Error(26)'.$L['upload_failed']);

) m6 L- Y$ d8 O$ K

6 Q. w) S5 V# R6 w   7 ^$ _6 D; F$ ^" [2 d! _

        $this->image = $this->is_image();

5 j0 w R/ q% U6 o5 |* Q+ @1 _$ q

. X# ?6 @0 U T8 z" c" p         if(DT_CHMOD) @chmod(DT_ROOT.'/'.$this->saveto, DT_CHMOD);

4 t7 a$ [- o$ R- [& I         return true;

" Q# M+ k3 E/ q# ]

9 M1 {* L2 P0 t     }}

+ ^! |4 o+ X" |+ t5 Q h

先经过几个基本参数的检查，然后调用$this->is_allow()来进行安全检查 include/upload.class.php:72：

2 }+ P& D$ w: |2 I

<?php ! l* Y; b+ P- M: ~7 _9 r

7 m3 n8 l3 Q) B7 m' h. D- l     function is_allow() {

' A( u: v$ V0 Q8 p2 g

        if(!$this->fileformat) return false; 2 z9 O8 n. X; X! e

        if(!preg_match("/^(".$this->fileformat.")$/i", $this->ext)) return false;

$ a" M+ V( U y( ?( S9 g7 v: j

* A, }6 q) D" M         if(preg_match("/^(php|phtml|php3|php4|jsp|exe|dll|cer|shtml|shtm|asp|asa|aspx|asax|ashx|cgi|fcgi|pl)$/i", $this->ext)) return false; . w4 }+ ?; C: J# w' z1 Z; c

        return true;

$ v1 w+ ^! r5 G$ P( O& R3 q     } # H2 P5 F9 g. T' \

可以看到这里仅仅对$this->ext进行了检查，如前此时$this->ext为jpg，检查通过。

% H" ]( S5 H& A

接着会进行真正的保存。通过$this->set_savepath($this->savepath); $this->set_savename($this->savename);设置了$this->saveto，然后通过move_uploaded_file($this->file, DT_ROOT.'/'.$this->saveto)将file保存到$this->saveto ，注意此时的savepath、savename、saveto均以php为后缀，而$this->file实际指的是第二个jpg文件。 $ \ l) |: Z* Z: Q

, ]. w; O* {9 o4 w, x

0 Z' ^9 i+ @$ a 漏洞利用

1 r0 M: `0 u5 g( P2 _ 综上，上传两个文件，其中第一个文件以php为结尾如1.php，用于设置后缀名为php；第二个文件为1.jpg，jpg用于绕过检测，其内容为php一句话木马(图片马)。

7 u6 h/ K: f8 X

 

' f% B3 h/ f$ B7 j' M

5 Q# i- e3 q5 [' m# p/ \ 然后访问http://127.0.0.1/file/temp/avatar1.php 即可。其中1是自己的_userid ' m+ l3 l1 K ]& F5 o

不过实际利用上会有一定的限制。 9 X. b9 ~8 q6 T& [# x' K3 J @1 ~

第一点是destoon使用了伪静态规则，限制了file目录下php文件的执行。 " s) d- B, l3 g6 j# G

) j7 e: v% H( _   4 J. \1 X) @+ i4 h5 T9 {

第二点是avatar.inc.php中在$upload->save()后，会再次对文件进行检查，然后重命名为xx.jpg：

# P1 c5 u9 t1 M9 ^4 o0 `

省略...$img = array();$img[1] = $dir.'.jpg';$img[2] = $dir.'x48.jpg';$img[3] = $dir.'x20.jpg';$md5 = md5($_username);$dir = DT_ROOT.'/file/avatar/'.substr($md5, 0, 2).'/'.substr($md5, 2, 2).'/_'.$_username;$img[4] = $dir.'.jpg';$img[5] = $dir.'x48.jpg';$img[6] = $dir.'x20.jpg';file_copy($file, $img[1]);file_copy($file, $img[4]);省略... . I$ l% r$ R' U2 b

% z. `8 J9 E4 D% a8 a0 T+ O( a

因此要利用成功就需要条件竞争了。 9 L, c& P2 @% _5 [' K

2 _" t" H* c& R5 B4 R 补丁分析

, b- T% g1 I% p+ D( W0 d6 n' r

# D6 e4 K: H; |9 B& |  

8 ~: |: x( |5 g! R$ T- S 在upload的一开始，就进行一次后缀名的检查。其中is_image如下：

( a' f$ N w0 \4 I5 {

% Q& j& [3 G5 N: Z7 Y. E function is_image($file) {    return preg_match("/^(jpg|jpeg|gif|png|bmp)$/i", file_ext($file));}

% Q0 X& u2 c/ P- m$ ]   8 l. J* ]8 l# q4 i" `. }1 R8 A

" k5 c* ]* m" D3 \& H v4 c 在__construct()的foreach中使用了break，获取了第一个文件后就跳出循环。

6 t2 l& [8 A" {4 d* q

6 v' D& N; Z" a% B: p 在is_allow()中增加对$this->savename的二次检查。

/ V6 h! }- A; t# J5 W1 `% q 最后 * k/ `/ g/ C1 v4 s- F6 g

嘛，祝各位大师傅中秋快乐！ 1 T: B' d2 \5 v9 Q" N y

; L0 I1 d: c8 \( i4 B

  6 L% \9 \0 w% h9 ^' ]