Destoon cms前台getwebshell

admin

# {4 S2 q) D6 j1 S1 E

- f. ~. q b3 c/ N: I$ I) o

* u- P/ \ @* W9 C6 S) \ 前言 % Z( g& ~* J& t* i3 N

! a g" p# F8 Y* g, {% B+ m, R 2018年9月21日，Destoon官方发布安全更新，修复了由用户“索马里的海贼”反馈的一个漏洞。

 

* ~. a3 {) |; X- k& X8 I3 ^ 漏洞分析

根据更新消息可知漏洞发生在头像上传处。Destoon中处理头像上传的是 module/member/avatar.inc.php 文件。在会员中心处上传头像时抓包，部分内容如下：

 

/ O0 H1 p1 m* ]% M7 F: y t

3 \ S, P* P) a0 n3 }6 f; p' [ 对应着avatar.inc.php代码如下： 7 a1 c" Y5 U6 A, Y/ h+ [( P

$ K2 @" r/ m2 r5 k

3 d/ C. K w* p( F3 i- o5 N! u <?php defined('IN_DESTOON') or exit('Access Denied');login();require DT_ROOT.'/module/'.$module.'/common.inc.php';require DT_ROOT.'/include/post.func.php';$avatar = useravatar($_userid, 'large', 0, 2);switch($action) { 4 I3 Y) m: l8 Q/ u

2 k! `: B! N1 t$ v     case 'upload': ) D3 [6 I8 ?" v8 n% N1 u

        if(!$_FILES['file']['size']) { 7 V7 e4 w0 s. e/ H

4 w, e7 i2 M: j7 ?7 Z3 f! O/ W

            if($DT_PC) dheader('?action=html&reload='.$DT_TIME); 8 c1 X3 h/ \0 a A6 w# x

8 L# `( I0 H. G8 ]. B

6 O( n* i* T& q: K2 i4 x) U3 s9 T/ W             exit('{"error":1,"message":"Error FILE"}'); ) U) c7 D+ H* a/ m1 z& z2 K, n

        } 6 S. D# z& F! x; j1 K( d

0 a$ v6 E* Q6 k

" Y4 p/ [/ H5 T# A# f         require DT_ROOT.'/include/upload.class.php'; $ m0 i& k% W5 }. m

8 D1 G6 `% a5 `0 S. D

  / n( C- `3 \5 m7 Z

3 T* [. z2 l+ x% l

3 k8 |3 C: x' }         $ext = file_ext($_FILES['file']['name']); 2 a% D N' X9 o2 K4 K! t3 V8 @

' `7 l* p% U! @0 K% L$ G- z

        $name = 'avatar'.$_userid.'.'.$ext; - W0 f) l% G- H: s- N) D. m

% }, g5 v. N/ O

        $file = DT_ROOT.'/file/temp/'.$name; 3 n- w: D% X$ @* `6 q @

 

. v: N, v- O$ `2 K' m+ M: A4 H& |

        if(is_file($file)) file_del($file); : q' _; D0 u4 O6 H4 J$ n: Z

2 K4 N( ]9 a9 R7 e         $upload = new upload($_FILES, 'file/temp/', $name, 'jpg|jpeg|gif|png');

& v7 F, U: G& D% ]# n8 t1 B; r

 

: J z& ^" f9 q3 [- ]         $upload->adduserid = false;

  9 u5 ]" c' I$ P. A, l& `3 d5 o# k

        if($upload->save()) {

            ... % u6 h' W# }4 c! t

( O5 D( G1 Z" {+ o

        } else { . q0 N) `/ n3 s5 d/ _

# y* e4 N% J+ ^8 E+ t

            ...

6 ^ V- u2 {9 `- \& [# n- G

9 o, c+ v7 g, @" ?. }8 @+ x         }

2 n! Y# @, f6 X* a! s; U0 x- X: M

% S0 b- q* S; m/ L; k- z3 f     break; 4 y" d( z* t o% g" b' e3 t

" x2 \& y& T/ X+ n

这里通过$_FILES['file']依次获取了上传文件扩展名$ext、保存临时文件名$name、保存临时文件完整路径$file变量。之后通过new upload();创立一个upload对象，等到$upload->save()时再将文件真正写入。 6 `+ y: v# V7 p6 _

upload对象构造函数如下，include/upload.class.php:25：

/ b) }$ D; Q G4 G$ n' K8 R, O

<?phpclass upload { / Z/ \ ^& F# G/ p

6 g# {& S" C& a. _# q     function __construct($_file, $savepath, $savename = '', $fileformat = '') {

6 O1 a* {6 G' D7 z

1 e7 `) S% N9 Z: I         global $DT, $_userid; ( I3 e# J; M6 `' Q2 t9 F

        foreach($_file as $file) { ! m5 |4 s2 \- |5 g

$ ?- B# m) E. S* n; ?" o

            $this->file = $file['tmp_name']; 5 L- l0 p2 m& M1 E! E1 t+ W

" a/ d m' i) q; _. i. \             $this->file_name = $file['name']; : D% d: r8 x+ P+ _3 F* W

            $this->file_size = $file['size'];

            $this->file_type = $file['type']; & g& O# f; e; e

6 N# u3 F9 _. \& E             $this->file_error = $file['error'];

$ ]& Z' E& T- j/ u0 ~1 x# h" O  

( j1 e: c. L- m# y$ O

$ g7 L, f' L Z' n$ f. {4 k. [         }

' d, ], P! d4 a+ p* P

9 K$ n) z; n/ \         $this->userid = $_userid; 6 W! j! [, w5 s3 @" y

! ^% ^' w# g# |0 k; V+ B6 G2 a( n

2 a. D, y+ @7 Q         $this->ext = file_ext($this->file_name); / @, H M; u6 r5 Z, u* S

( S8 ^% K$ R/ O' I H6 ~

        $this->fileformat = $fileformat ? $fileformat : $DT['uploadtype'];

# U: V, @% F7 Z' o7 u7 o( u' [7 V$ T         $this->maxsize = $DT['uploadsize'] ? $DT['uploadsize']*1024 : 2048*1024;

. ?- f4 p' ~2 _! l

        $this->savepath = $savepath;

0 R' U/ v) h9 L* s. Y3 D# P         $this->savename = $savename;

7 v! F9 z$ E5 F" l

& p2 s6 r+ `: ~3 i5 ^/ y3 k     }}

' P- F: M" l/ S7 k7 k1 S0 Y6 Y7 z

+ e( Z- U& _& X& C: A 这里通过foreach($_file as $file)来遍历初始化各项参数。而savepath、savename则是通过__construct($_file, $savepath, $savename = '', $fileformat = '')直接传入参数指定。

- Y% l6 x1 X3 s9 o! {

2 F' C+ P4 c( P3 ?4 x6 F% ? A 因此考虑上传了两个文件，第一个文件名是1.php，第二个文件是1.jpg，只要构造合理的表单上传（参考：https://www.cnblogs.com/DeanChopper/p/4673577.html），则在avatar.inc.php中

$ext = file_ext($_FILES['file']['name']); // `$ext`即为`php` $name = 'avatar'.$_userid.'.'.$ext; // $name 为 'avatar'.$_userid.'.'php'$file = DT_ROOT.'/file/temp/'.$name; // $file 即为 xx/xx/xx/xx.php 1 w0 i; ]6 i9 x- M+ w4 W K+ f

9 X* Y9 f% c4 q8 p @$ ~

而在upload类中，由于多个文件上传，$this->file、$this->file_name、$this->file_type将foreach在第二次循环中被置为jpg文件。测试如下： , K2 g e. A6 O. C; H. A. C

8 _# Q/ T5 F) n% `+ P   ' J9 H% I( z7 P& O6 D7 p2 {

! ]: Y! O" w6 y 回到avatar.inc.php，当进行文件保存时调用$upload->save()，include/upload.class.php:50: 7 r$ p8 P" q/ m( R$ g

' K6 t" J& E6 w5 i

& q; x6 L2 G" b3 d <?phpclass upload {

h2 X/ o: F7 m1 K9 X9 @+ q. |

    function save() { 9 Q Q/ l1 V( f" P( u

+ t0 f, x' s: p; W3 z, p; q9 I         include load('include.lang'); 8 s. p8 U3 F4 V! ~$ K# _$ ?! N i

% S3 }/ K6 z: R

2 w/ q% C$ E0 j4 U6 `7 p         if($this->file_error) return $this->_('Error(21)'.$L['upload_failed'].' ('.$L['upload_error_'.$this->file_error].')');

$ A7 K) T% u t3 \8 Y$ x   6 L4 n$ u) n' j

, P/ }( T4 Y) @3 G, C

        if($this->maxsize > 0 && $this->file_size > $this->maxsize) return $this->_('Error(22)'.$L['upload_size_limit'].' ('.intval($this->maxsize/1024).'Kb)'); 8 F# `' u! _3 v$ \4 x5 ~- Y

m/ c, c% l0 V# E, d

  + O! n y! E( ]9 _

q' N5 f/ {3 ?2 a3 _2 o2 `         if(!$this->is_allow()) return $this->_('Error(23)'.$L['upload_not_allow']);

; y1 o% |7 |9 g4 [- X  

8 b1 e: l. A$ }* z, ?7 }; ~         $this->set_savepath($this->savepath); 1 l9 n. d6 g, a% y7 [

9 D0 l; P, z8 ^! [3 \

        $this->set_savename($this->savename); , a4 M$ I0 u. ^7 h2 Q

F3 l! W3 Z r; t$ K   $ V/ @* l4 J5 s+ w$ G6 d

        if(!is_writable(DT_ROOT.'/'.$this->savepath)) return $this->_('Error(24)'.$L['upload_unwritable']);

Q3 P* X8 ?; _; W8 J         if(!is_uploaded_file($this->file)) return $this->_('Error(25)'.$L['upload_failed']); ' l( X" H' j9 E+ y9 l! e) L: U

        if(!move_uploaded_file($this->file, DT_ROOT.'/'.$this->saveto)) return $this->_('Error(26)'.$L['upload_failed']); 0 ?) ]% L4 d: }% ]: f- ?

/ h4 I6 _; W4 @! b  

* A1 ^+ k @& f- w         $this->image = $this->is_image(); 9 R, ~) l/ {; j

& u( w& G0 {9 `, ~/ v8 X

        if(DT_CHMOD) @chmod(DT_ROOT.'/'.$this->saveto, DT_CHMOD); 0 V; f4 G4 M* h8 ]- Y6 F" p

        return true; 3 l3 P0 ~7 A1 j7 C

5 ~$ Z" S, }7 B' F: U

    }} 1 {6 r* s* e. }# R

I+ q8 a# Y7 V5 G, C5 M

u$ `$ n# a2 U 先经过几个基本参数的检查，然后调用$this->is_allow()来进行安全检查 include/upload.class.php:72：

<?php

    function is_allow() {

" h; z! R/ d& l7 l3 j' E) C         if(!$this->fileformat) return false;

2 H+ {% W, ?7 V

        if(!preg_match("/^(".$this->fileformat.")$/i", $this->ext)) return false; ) g7 z9 u+ m8 J- L2 o% n

4 ~3 r) w8 @5 J! u$ D         if(preg_match("/^(php|phtml|php3|php4|jsp|exe|dll|cer|shtml|shtm|asp|asa|aspx|asax|ashx|cgi|fcgi|pl)$/i", $this->ext)) return false;

        return true; % Q; s) K4 f6 t) ?; C2 s% C

# U3 j" f* K, Y" X% [& C     } 0 ]( n5 h0 Q$ Y. M

4 N- p: b+ i: [

可以看到这里仅仅对$this->ext进行了检查，如前此时$this->ext为jpg，检查通过。

) L! E* o) k* l

4 I% r1 `+ T% Z 接着会进行真正的保存。通过$this->set_savepath($this->savepath); $this->set_savename($this->savename);设置了$this->saveto，然后通过move_uploaded_file($this->file, DT_ROOT.'/'.$this->saveto)将file保存到$this->saveto ，注意此时的savepath、savename、saveto均以php为后缀，而$this->file实际指的是第二个jpg文件。 ! c/ h( I4 U; ?5 s; ], h# f+ w4 ]" r

9 d' N6 }* n: \% T8 c- N* y

8 |* ^8 j* q! ~) f( S1 @2 g2 b; j 漏洞利用

% X& Q( Q u3 Z9 e1 C; M5 ~8 w

综上，上传两个文件，其中第一个文件以php为结尾如1.php，用于设置后缀名为php；第二个文件为1.jpg，jpg用于绕过检测，其内容为php一句话木马(图片马)。

1 F H; D& t7 M3 Y/ {5 `4 j

0 d, l' _$ l" V& d. H  

3 F, i; e# B' B/ `. M8 x2 B* d2 s

然后访问http://127.0.0.1/file/temp/avatar1.php 即可。其中1是自己的_userid

不过实际利用上会有一定的限制。 0 o, S) J/ G( U; _/ z1 B* r

第一点是destoon使用了伪静态规则，限制了file目录下php文件的执行。

: G; ]( T: B& e4 c6 h

 

第二点是avatar.inc.php中在$upload->save()后，会再次对文件进行检查，然后重命名为xx.jpg： : M6 e- r, c4 |! _& s1 R

) L1 {7 U' ~, e ]

+ u6 U7 W2 G7 Y6 V4 B 省略...$img = array();$img[1] = $dir.'.jpg';$img[2] = $dir.'x48.jpg';$img[3] = $dir.'x20.jpg';$md5 = md5($_username);$dir = DT_ROOT.'/file/avatar/'.substr($md5, 0, 2).'/'.substr($md5, 2, 2).'/_'.$_username;$img[4] = $dir.'.jpg';$img[5] = $dir.'x48.jpg';$img[6] = $dir.'x20.jpg';file_copy($file, $img[1]);file_copy($file, $img[4]);省略...

& g' m* H) @1 d* S1 v+ X5 {

% w- j% H" X" \9 G( w4 [ 因此要利用成功就需要条件竞争了。 : D" Z8 u- B0 U% z! q

* Y3 W2 Q4 X. ?8 L% ^( n$ g$ u/ u3 |

& V3 }" y) T" O5 T8 q2 K' C/ Z' ] 补丁分析

1 I' ?1 a# i L5 ~! }0 E5 P2 q% _

; i) i2 q2 m! O' I9 [; O  

0 b; D& \+ E/ ?7 ~4 e. [ s; e9 b- _) M

在upload的一开始，就进行一次后缀名的检查。其中is_image如下：

0 G. t. l. f- A5 k: @2 {% X: V

4 y) C3 |* R/ p8 u+ c$ c7 \( j function is_image($file) {    return preg_match("/^(jpg|jpeg|gif|png|bmp)$/i", file_ext($file));} M) G; T$ q9 b- T4 F" t

$ y# p3 q0 ^1 i+ x

 

, K; b# u& @" n4 T( A7 D

, z0 b& K- ?. H* d$ J! _& W( m8 I 在__construct()的foreach中使用了break，获取了第一个文件后就跳出循环。 . O ]6 V' |' h2 c- f1 B3 _3 U

在is_allow()中增加对$this->savename的二次检查。 & v7 j9 r- H( i9 R

) z4 m& j$ ]7 G/ A7 q 最后

/ i2 I } p! n$ d6 Z6 ^; d 嘛，祝各位大师傅中秋快乐！ ( H) s i' w! q2 S

& D/ O# B; H. c' N, w

, @3 \: s' A( e* E