Destoon cms前台getwebshell

admin

) h- \. ?/ d: ~0 d% _

前言 3 Z9 Z8 o$ c$ w( q1 a; E4 w3 g9 n

( u& E, S/ }% a 2018年9月21日，Destoon官方发布安全更新，修复了由用户“索马里的海贼”反馈的一个漏洞。 1 v* O, s. t% T/ a* a+ |

. H8 E4 F! X7 k. m   & q7 L" V y; |2 h$ O

漏洞分析

4 o u- ~ U' e9 c

. ~. P0 T0 x/ }, j 根据更新消息可知漏洞发生在头像上传处。Destoon中处理头像上传的是 module/member/avatar.inc.php 文件。在会员中心处上传头像时抓包，部分内容如下：

 

5 h( @3 O. l6 D& Z. h% a& T, T

对应着avatar.inc.php代码如下：

, ]6 `2 C8 K% R( q

1 {6 U$ g( y/ Y4 u0 d7 ~) y <?php defined('IN_DESTOON') or exit('Access Denied');login();require DT_ROOT.'/module/'.$module.'/common.inc.php';require DT_ROOT.'/include/post.func.php';$avatar = useravatar($_userid, 'large', 0, 2);switch($action) {

! k# x8 ?; r7 u

+ A# U- V/ n! @: M7 M' d( @     case 'upload':

        if(!$_FILES['file']['size']) { * ]. \7 W8 i8 f) [

6 a/ \3 |: ~' l

" s) ~6 E7 ~8 l             if($DT_PC) dheader('?action=html&reload='.$DT_TIME);

, x, ^+ g3 l: D! u/ [6 h

            exit('{"error":1,"message":"Error FILE"}'); / F: k+ J3 v; _7 x. J$ o5 J* [" Q5 d

- t, C4 P! Z, l

        }

7 K7 L; S, [# N1 Q

+ H* p: s6 x* G. f. X: w$ D         require DT_ROOT.'/include/upload.class.php'; ( r1 a* [3 q; V- X/ R

+ _( W- T" c" a  

9 g9 x1 m2 P0 _. V

% x$ }$ s! u% k7 P& }& C% x; H         $ext = file_ext($_FILES['file']['name']); , S4 |) S, L2 p, R* N+ q

2 N5 B# e6 P, m: m- [0 T- @% T         $name = 'avatar'.$_userid.'.'.$ext;

1 _; y# L6 f. @         $file = DT_ROOT.'/file/temp/'.$name; ! h# C9 X& m. e# @( r: C0 ]

& k. @. R0 i: }/ T+ B. K7 n' s2 w

  9 @; o0 D4 |. K$ g' f4 V7 m/ o- u

        if(is_file($file)) file_del($file); 4 x% ?4 J' V3 M" }! ^

8 z" @1 y9 K" }8 |* U$ s         $upload = new upload($_FILES, 'file/temp/', $name, 'jpg|jpeg|gif|png');

' d6 B% b7 N5 S+ @$ ]0 W8 |& M6 p

  4 x" z$ f# Q A$ V' `

        $upload->adduserid = false;

, S* r( ?% x3 w. K# e

2 @5 S O$ T: U; N+ B9 B' p   3 t4 {. z, U+ D# P* h

& ]5 b5 x0 i D- y' B

& j- o5 ]" o" T2 u         if($upload->save()) { & c0 z" q$ B" ~

. e( N0 P, l0 P0 x

            ... # d) R" b# \" a; N

* O5 q$ `+ d, N

8 K2 B. Y+ C- `4 J3 k* K9 R! a0 {         } else { 7 z4 y0 v% R, p W6 q! d2 {

            ... - U3 r" z p7 V) L; v' K p

7 p7 e6 S" Z) G- F: Y. E: w) K0 x" T         }

' W& I% L% Z* f- b/ [6 r     break;

! E2 ]$ i! q# m2 U: P: i/ \

这里通过$_FILES['file']依次获取了上传文件扩展名$ext、保存临时文件名$name、保存临时文件完整路径$file变量。之后通过new upload();创立一个upload对象，等到$upload->save()时再将文件真正写入。 4 }7 T6 G' P& T- t3 X' a

upload对象构造函数如下，include/upload.class.php:25： + ^: w$ M1 O2 F! u7 o3 j7 E

6 F C8 l' `& ~, R: `# F/ O! Z <?phpclass upload {

" X5 f- @/ D- Z

5 i* k* r8 Y1 R: o, @5 J$ Y     function __construct($_file, $savepath, $savename = '', $fileformat = '') { # V! y- b1 r \! Q0 q# S

! {2 i3 v# [' G. A4 |- j9 [         global $DT, $_userid; & Z% Q2 h* F' O

4 s& j9 `; x3 V1 E% ^" g

        foreach($_file as $file) {

; K( C$ E" J ^7 @: w h5 e

" i! K, p& {( e5 l, Y ?5 H             $this->file = $file['tmp_name'];

+ `( s) j, K# H: @- J( j

+ @$ S' D, v& U; O6 F3 M( O             $this->file_name = $file['name'];

            $this->file_size = $file['size'];

            $this->file_type = $file['type'];

S+ J) I! Y' l, m6 n             $this->file_error = $file['error']; - ?( N2 B" Q; Y

! V! \3 B" M/ h5 c! S' m# v2 y3 A

 

        } + ?; W! [& Z; g( X/ N6 ]" n

+ N5 j2 s+ i# M7 F( Y* b3 V* P

}8 x I: a# `+ k/ n         $this->userid = $_userid; ! T) L, P& ?" o$ d6 c: T! T; q

0 x8 u+ j0 f( {( ~         $this->ext = file_ext($this->file_name);

        $this->fileformat = $fileformat ? $fileformat : $DT['uploadtype'];

% x. E; k( K4 H/ Y% v6 F7 e         $this->maxsize = $DT['uploadsize'] ? $DT['uploadsize']*1024 : 2048*1024; ' N3 N/ ~. x _) }

8 b0 E# H$ |+ d: o. u& d1 W1 v

        $this->savepath = $savepath;

, f0 r. V/ U6 s2 I* a( x

) @* j, E* A6 T r/ T         $this->savename = $savename;

    }}

( `: \/ _# ~7 A: [

* l. l8 e% Z& N: @+ p 这里通过foreach($_file as $file)来遍历初始化各项参数。而savepath、savename则是通过__construct($_file, $savepath, $savename = '', $fileformat = '')直接传入参数指定。

( z h, D: Z. `1 l4 y 因此考虑上传了两个文件，第一个文件名是1.php，第二个文件是1.jpg，只要构造合理的表单上传（参考：https://www.cnblogs.com/DeanChopper/p/4673577.html），则在avatar.inc.php中

$ [) \' ^0 ]+ y. s5 e8 l

- @% I) S5 l2 `: K: Z6 I' I1 i $ext = file_ext($_FILES['file']['name']); // `$ext`即为`php` $name = 'avatar'.$_userid.'.'.$ext; // $name 为 'avatar'.$_userid.'.'php'$file = DT_ROOT.'/file/temp/'.$name; // $file 即为 xx/xx/xx/xx.php

: |& R. @" m' g s* @ 而在upload类中，由于多个文件上传，$this->file、$this->file_name、$this->file_type将foreach在第二次循环中被置为jpg文件。测试如下： 0 u0 O: X0 f8 f" \9 ^8 S4 J' A

( H Q2 I, D' h; X$ Q4 i

( H$ M2 o5 v, a/ Y   0 L6 d% f, p2 v: L, o; K

+ j5 r! S5 ]0 g1 }5 s: s

( r U/ W* m3 Z/ O$ o 回到avatar.inc.php，当进行文件保存时调用$upload->save()，include/upload.class.php:50:

$ D& o9 ^" t/ O* G

7 b8 D) |4 Y4 o* n <?phpclass upload {

$ h' Y5 l" V0 }, [

3 G9 }0 Z4 p" F' U( b6 j7 C) x$ w     function save() { . m0 G( I8 L |

        include load('include.lang');

4 T7 k# T) G4 n' a" c8 w: v5 D0 o         if($this->file_error) return $this->_('Error(21)'.$L['upload_failed'].' ('.$L['upload_error_'.$this->file_error].')');

2 C: _3 @8 e% z

  * c. h. r- t J! m+ u

        if($this->maxsize > 0 && $this->file_size > $this->maxsize) return $this->_('Error(22)'.$L['upload_size_limit'].' ('.intval($this->maxsize/1024).'Kb)'); # W+ d( q! l) x- l7 a

) y( v* k2 K4 D7 j1 ~8 X

 

; @4 \$ i! A, b1 @3 l( r l         if(!$this->is_allow()) return $this->_('Error(23)'.$L['upload_not_allow']); , i0 W- H6 A9 l+ F' ~2 Q

1 A( T+ q# I2 @ [   7 j2 C8 Z3 k/ j: `& @" p. {

6 M$ Z- u" @! f# Y* g3 {         $this->set_savepath($this->savepath); 1 y' j q0 \) F( b! w! |6 y- P

        $this->set_savename($this->savename); 7 V1 C! a5 i1 f" S9 y, T$ R

9 |! x: C7 C! g! d  

) r5 E1 s" M6 e# c* e         if(!is_writable(DT_ROOT.'/'.$this->savepath)) return $this->_('Error(24)'.$L['upload_unwritable']); 7 k2 x: O( m- R0 c4 `

% z' S6 V$ o# _4 j" ^

" S1 M W& o; e3 [9 m* C7 m         if(!is_uploaded_file($this->file)) return $this->_('Error(25)'.$L['upload_failed']);

5 M6 {% Y/ s% X9 m) J' D3 G( u" k5 x

        if(!move_uploaded_file($this->file, DT_ROOT.'/'.$this->saveto)) return $this->_('Error(26)'.$L['upload_failed']); / U2 a" L3 O% s6 o

  . V- O( }% V; d% U( D: ?

* p6 ~4 H/ ~# U$ a. |         $this->image = $this->is_image(); ; Q2 W% @* j, s4 P5 {$ G

" ?; k B" R" p- u: r* _

J4 T# e1 t0 T0 n J) Z         if(DT_CHMOD) @chmod(DT_ROOT.'/'.$this->saveto, DT_CHMOD); ( q! l, n& M/ c

8 U+ @+ W$ s7 V0 p% \; E; t/ c         return true; $ ]* W7 U+ Q5 i8 ?- P

2 P3 T1 M1 i/ O# i     }} ) ^8 [7 H4 Y. H6 I% H* j9 U

先经过几个基本参数的检查，然后调用$this->is_allow()来进行安全检查 include/upload.class.php:72：

<?php

    function is_allow() { 8 L8 l+ B; i( g2 }

        if(!$this->fileformat) return false;

) }- q7 y$ n" r, u6 c p

        if(!preg_match("/^(".$this->fileformat.")$/i", $this->ext)) return false; 1 E" s) q/ {$ l- ]4 n, k

: r1 ~0 S) S3 a% _

        if(preg_match("/^(php|phtml|php3|php4|jsp|exe|dll|cer|shtml|shtm|asp|asa|aspx|asax|ashx|cgi|fcgi|pl)$/i", $this->ext)) return false;

; E2 _- a1 m: c2 T& {9 ^

        return true;

    } - k# R. J' W5 l. s8 u' @' I

( j* G, o4 [' ~, ~" H F* o

可以看到这里仅仅对$this->ext进行了检查，如前此时$this->ext为jpg，检查通过。

- M6 b) ]( _) Z9 a6 O( k9 V8 ]

接着会进行真正的保存。通过$this->set_savepath($this->savepath); $this->set_savename($this->savename);设置了$this->saveto，然后通过move_uploaded_file($this->file, DT_ROOT.'/'.$this->saveto)将file保存到$this->saveto ，注意此时的savepath、savename、saveto均以php为后缀，而$this->file实际指的是第二个jpg文件。

. O4 s) [, E, [" S& ~- A* M- }* C$ B 漏洞利用 ) G! [6 T) k# V1 I' u2 {4 P

& F$ j3 B! t( ~. ~! y } 综上，上传两个文件，其中第一个文件以php为结尾如1.php，用于设置后缀名为php；第二个文件为1.jpg，jpg用于绕过检测，其内容为php一句话木马(图片马)。

6 b6 e# ~. X/ h  

2 _, c0 o: x7 r1 P& K- I

然后访问http://127.0.0.1/file/temp/avatar1.php 即可。其中1是自己的_userid

# m% k' e8 O$ W* w+ `0 T0 W- c7 D: s

2 r4 ]* V/ d# k1 c3 K& Y [ 不过实际利用上会有一定的限制。 7 x9 |# X6 Z% [7 f. M

第一点是destoon使用了伪静态规则，限制了file目录下php文件的执行。

; a. k# @: i" Z. m; ^9 D

1 Y$ L. d6 S( Y  

( C7 n1 k% ]% d

第二点是avatar.inc.php中在$upload->save()后，会再次对文件进行检查，然后重命名为xx.jpg：

X* B( X1 x; i) ?/ \# m

9 ^: M) [& F( G; \' y" F3 U 省略...$img = array();$img[1] = $dir.'.jpg';$img[2] = $dir.'x48.jpg';$img[3] = $dir.'x20.jpg';$md5 = md5($_username);$dir = DT_ROOT.'/file/avatar/'.substr($md5, 0, 2).'/'.substr($md5, 2, 2).'/_'.$_username;$img[4] = $dir.'.jpg';$img[5] = $dir.'x48.jpg';$img[6] = $dir.'x20.jpg';file_copy($file, $img[1]);file_copy($file, $img[4]);省略...

因此要利用成功就需要条件竞争了。

补丁分析 8 ^, |9 v: q3 f/ ]

: t7 [( A2 ], f4 u7 t

  - S1 i$ J# P, Z: z# h/ ]

6 z, d' h" B, V 在upload的一开始，就进行一次后缀名的检查。其中is_image如下： + _& |. B x0 e. |: \0 `! a

/ R: {, N0 H, ~3 Z$ p& [2 F

) h& ]8 r% m* A% r function is_image($file) {    return preg_match("/^(jpg|jpeg|gif|png|bmp)$/i", file_ext($file));} . @: E* _; @& o

$ Q& \# q' {' m6 M% z7 f   6 ^9 c \" \* r4 a

6 @% ~ {. _' O$ m! Q* S/ x z) K

在__construct()的foreach中使用了break，获取了第一个文件后就跳出循环。

7 \; R% ?& }& X 在is_allow()中增加对$this->savename的二次检查。 % ^2 k4 k4 C: M+ L0 t

最后

! a, K. G( ?" ]) h- \) X& q

3 w9 _0 y+ \7 m: r 嘛，祝各位大师傅中秋快乐！ 2 C6 v3 }" `+ i+ G; e

7 n9 v y3 Q) W( o" N