Destoon cms前台getwebshell

admin

' p; Q& a' U$ R% J% i5 ]

前言 * p& W& T' P0 g8 ?4 F

8 |! `+ t- G/ Y o3 k

2018年9月21日，Destoon官方发布安全更新，修复了由用户“索马里的海贼”反馈的一个漏洞。

1 b/ r2 C" b" T) T* V( u  

0 v. F$ k, p1 `

漏洞分析 ! a' `6 ~( S" `

+ w( R$ W9 U3 f7 n, n

根据更新消息可知漏洞发生在头像上传处。Destoon中处理头像上传的是 module/member/avatar.inc.php 文件。在会员中心处上传头像时抓包，部分内容如下： ) a* k# A. d, M m1 @. Y5 }

2 V! D0 ]% o0 M. l) _

* w7 Q; @$ Q7 {7 W   + h1 T" E0 ^3 f# f$ h+ `

& R0 M" D, j/ m3 K* h 对应着avatar.inc.php代码如下：

8 z0 s- A0 d' Y

<?php defined('IN_DESTOON') or exit('Access Denied');login();require DT_ROOT.'/module/'.$module.'/common.inc.php';require DT_ROOT.'/include/post.func.php';$avatar = useravatar($_userid, 'large', 0, 2);switch($action) {

% }3 q0 q) z L8 H i: Q

    case 'upload':

' {1 ?5 k' U/ o8 D: V. V& Y5 ?

+ g7 b1 L7 |) N5 V* f. l' Q8 `         if(!$_FILES['file']['size']) { 5 I3 Q8 V; T. ~/ `$ K9 v0 ?0 |

( t) e4 W& \6 l& q, d             if($DT_PC) dheader('?action=html&reload='.$DT_TIME);

            exit('{"error":1,"message":"Error FILE"}');

h% {5 Z$ k/ i I

        }

        require DT_ROOT.'/include/upload.class.php'; ' W, X" R; t( |' {* l

& m0 i; L0 x K: k# g' A

 

        $ext = file_ext($_FILES['file']['name']); ' F |" R, P! T9 h4 `, y7 @

$ W% f& X" ^* e; o }) k; B5 v         $name = 'avatar'.$_userid.'.'.$ext;

. t" M' [7 r: h. w. k: ]+ v) c

) V3 e# r, g. I6 i) U. J         $file = DT_ROOT.'/file/temp/'.$name;

$ n B$ a" ]; I8 a1 c

^, J" r4 M! l5 ?- y G   : l0 u/ Y) R9 d0 v H+ ~: x

s! Y7 z5 R' Z& P* x

9 @8 q2 R1 L9 u" b+ u/ e/ \         if(is_file($file)) file_del($file);

/ a# H% Y7 B; W

& W; K3 v& R# c4 d         $upload = new upload($_FILES, 'file/temp/', $name, 'jpg|jpeg|gif|png');

  , Q, I& I2 O- ?! N+ X7 [% C8 i1 i, t

        $upload->adduserid = false;

$ ~/ F0 R, v" U B9 ~

 

        if($upload->save()) { 4 y2 C$ @0 O( ^$ A+ J/ D. z, V

1 F6 T) {! M. I5 W. W

* W% M( N6 M4 ^! _             ... ; x | |- v) } b6 _3 z

/ o f. {3 R7 v5 |+ c% v: Q0 s

        } else {

( R" }2 K; w9 p* z- V$ K7 m             ... # ]1 n) ?+ C. W4 e3 \

) J y9 ]% p7 P+ |         } - ^$ t2 V) l6 t7 d4 u5 n% @

; t: @# y$ V2 _! n4 k1 n4 F. Q

    break;

5 N' A Q. h6 u

( |3 N; I% a' k5 i& _* t+ H3 L% Z" _ 这里通过$_FILES['file']依次获取了上传文件扩展名$ext、保存临时文件名$name、保存临时文件完整路径$file变量。之后通过new upload();创立一个upload对象，等到$upload->save()时再将文件真正写入。 ! t2 X8 G3 c. V6 M) J& ]. L' X

upload对象构造函数如下，include/upload.class.php:25：

5 S5 X1 |0 b# A$ k; K

<?phpclass upload {

2 \; K. x* O+ T& ]     function __construct($_file, $savepath, $savename = '', $fileformat = '') {

        global $DT, $_userid; + V( d& h3 |4 I7 W& g. P5 ~4 F

) S3 P1 L4 i2 @- m, `$ s

% X4 A+ z9 s2 K; @- ^+ O         foreach($_file as $file) {

, h2 |7 s8 N- d$ C5 R) k# F) [5 J

            $this->file = $file['tmp_name'];

            $this->file_name = $file['name'];

            $this->file_size = $file['size'];

2 b0 N) q+ s! w- n( x& g

( ^6 Q* d; \' o             $this->file_type = $file['type']; ' s+ d5 Y n, n

            $this->file_error = $file['error'];

/ `4 W/ @. y& K! A g! D

  3 S6 ~" L3 n2 g N

+ ~) x. p7 `, |) l" a+ c

        } * I, t- |4 x. I; E: s& U

5 y; z6 Q0 B3 l" a. E3 n         $this->userid = $_userid;

8 ~2 X+ O- X7 ~6 J0 s" o) n3 x! G

        $this->ext = file_ext($this->file_name);

$ U! j; J. \% H$ W0 S         $this->fileformat = $fileformat ? $fileformat : $DT['uploadtype']; 5 x& v- n# R' `! T+ c8 I1 ]. I

, ?) x! l- J5 o

" u) R# Y6 h+ H# }8 A         $this->maxsize = $DT['uploadsize'] ? $DT['uploadsize']*1024 : 2048*1024;

* O& [. @1 A& ?2 |/ y3 k+ C

        $this->savepath = $savepath; 5 a) ^4 h/ r- U" ~

        $this->savename = $savename;

5 K( u# M: M: r% G, y! _

    }}

0 M8 G; @# g* r [

_. n1 C. ^+ M0 Y9 L m 这里通过foreach($_file as $file)来遍历初始化各项参数。而savepath、savename则是通过__construct($_file, $savepath, $savename = '', $fileformat = '')直接传入参数指定。

因此考虑上传了两个文件，第一个文件名是1.php，第二个文件是1.jpg，只要构造合理的表单上传（参考：https://www.cnblogs.com/DeanChopper/p/4673577.html），则在avatar.inc.php中 ; W$ Z: l1 g" V$ o# n% O

$ x: t: G2 |+ T5 o c- B! }% k: p $ext = file_ext($_FILES['file']['name']); // `$ext`即为`php` $name = 'avatar'.$_userid.'.'.$ext; // $name 为 'avatar'.$_userid.'.'php'$file = DT_ROOT.'/file/temp/'.$name; // $file 即为 xx/xx/xx/xx.php

而在upload类中，由于多个文件上传，$this->file、$this->file_name、$this->file_type将foreach在第二次循环中被置为jpg文件。测试如下： 3 B7 h+ S E( a" m9 k

4 E& @2 l+ U9 S! ]0 c

% |) v+ ~% u8 m% m. v9 N. ?  

) T& Y: Y: |1 k/ V

回到avatar.inc.php，当进行文件保存时调用$upload->save()，include/upload.class.php:50: 6 S/ \; }( h0 R! \& z" m5 V

; J) e6 N$ n j( r

<?phpclass upload {

    function save() { : ^! o, d4 P$ W& S0 l

        include load('include.lang'); , _( k P. n2 v. Q# C4 Q

; v- |0 l4 ^$ A4 @4 T; o, w

        if($this->file_error) return $this->_('Error(21)'.$L['upload_failed'].' ('.$L['upload_error_'.$this->file_error].')'); % a0 d& M& S a% n5 h4 [

 

5 S0 z+ Z- v3 Z. \- W9 P8 b         if($this->maxsize > 0 && $this->file_size > $this->maxsize) return $this->_('Error(22)'.$L['upload_size_limit'].' ('.intval($this->maxsize/1024).'Kb)'); 9 B8 Z1 a9 Q4 h A+ S1 ^1 B

  0 ?* @4 {7 {, G, C% R; d' ^" z

, G2 h) M, f( ^& a

1 i- [3 b7 r s% n+ x         if(!$this->is_allow()) return $this->_('Error(23)'.$L['upload_not_allow']); & T: j. _3 S" a& M

, p, X3 G; N% F E2 e B

 

3 \$ O; x* c B4 O. o" z# {

! G- F! ] l' n1 Z& X& a) D& K         $this->set_savepath($this->savepath);

; a. s1 ?2 E& k0 q' `1 u+ [% n         $this->set_savename($this->savename);

9 {. `8 r5 f2 G   ; V6 {4 t. q; `% N \6 u

E5 s1 G" c) s0 ]$ c+ M* `

$ ]4 O" b+ J3 A% o# T         if(!is_writable(DT_ROOT.'/'.$this->savepath)) return $this->_('Error(24)'.$L['upload_unwritable']); 1 |( s# U( Z" E# `& O& z

8 @& J* }1 b) ]. G/ l         if(!is_uploaded_file($this->file)) return $this->_('Error(25)'.$L['upload_failed']); 9 F; w) ?/ L! v' Y" d; H C- N

9 d1 ?$ Y5 [4 ~. F! C) O& H8 y3 y/ V         if(!move_uploaded_file($this->file, DT_ROOT.'/'.$this->saveto)) return $this->_('Error(26)'.$L['upload_failed']);

# U. z9 e- A6 D0 Q4 Z. f" z

  * P# }7 g- ^* d" B9 i" F

+ B* @9 h' T. L8 O8 Y% }( ^

        $this->image = $this->is_image();

0 g, q3 G- x6 o9 F% N

! y* o1 B7 [+ ~1 G$ ?         if(DT_CHMOD) @chmod(DT_ROOT.'/'.$this->saveto, DT_CHMOD);

        return true; e4 R* ^+ |) t' [

. c. F$ ]) a0 p- S

    }}

先经过几个基本参数的检查，然后调用$this->is_allow()来进行安全检查 include/upload.class.php:72： : n# e( @: U) d" A- J/ M/ E

<?php

5 Y5 d( r6 |5 f9 v3 k9 h3 k

    function is_allow() {

4 b) w" ~! Y$ D: {! W" q! `" h

        if(!$this->fileformat) return false; 0 ?7 }6 q% V3 H7 M

8 ]! U ]: V2 e& E0 j

        if(!preg_match("/^(".$this->fileformat.")$/i", $this->ext)) return false; % }) s' p9 e: b- x$ k4 b7 R

$ {. s) n- H8 f0 j% M. a

        if(preg_match("/^(php|phtml|php3|php4|jsp|exe|dll|cer|shtml|shtm|asp|asa|aspx|asax|ashx|cgi|fcgi|pl)$/i", $this->ext)) return false; 2 |8 L0 K0 f1 K: @7 D

1 |; O- j1 e) G; K+ b3 i

3 q. _4 F7 \* \         return true; " J" q$ l6 Q! n" k( ?

    }

3 z. y u) S8 f

+ e4 N# F, X7 R/ R, O 可以看到这里仅仅对$this->ext进行了检查，如前此时$this->ext为jpg，检查通过。 5 e/ t' Y& E5 G. i6 y

$ n, @, o! ?$ S! X9 I4 D( X7 R

接着会进行真正的保存。通过$this->set_savepath($this->savepath); $this->set_savename($this->savename);设置了$this->saveto，然后通过move_uploaded_file($this->file, DT_ROOT.'/'.$this->saveto)将file保存到$this->saveto ，注意此时的savepath、savename、saveto均以php为后缀，而$this->file实际指的是第二个jpg文件。 * u8 m4 w8 U" F

# l$ F/ T4 a0 C# c

漏洞利用 7 Y2 e0 g7 T0 F" T

- G+ A" y/ t2 j5 H; S4 U

U- L8 G" ~8 M 综上，上传两个文件，其中第一个文件以php为结尾如1.php，用于设置后缀名为php；第二个文件为1.jpg，jpg用于绕过检测，其内容为php一句话木马(图片马)。

  - {6 V3 ^" R6 U) D

, z4 Q/ _4 b% r9 s w

然后访问http://127.0.0.1/file/temp/avatar1.php 即可。其中1是自己的_userid

不过实际利用上会有一定的限制。

6 ?& N' d3 E3 u& _ \( o( T

第一点是destoon使用了伪静态规则，限制了file目录下php文件的执行。

- H6 p" ~! l0 A! \1 ~7 u0 J9 ^

' D1 U0 G, t8 E5 I   9 T, X) l H. @2 m& ^0 N

5 y9 y- R7 K" a( e, |5 R- F1 e

# m- L+ V# G: Z3 L3 ?3 K& a. y 第二点是avatar.inc.php中在$upload->save()后，会再次对文件进行检查，然后重命名为xx.jpg：

8 U9 [ F: K" K+ l/ Z- _( Z

省略...$img = array();$img[1] = $dir.'.jpg';$img[2] = $dir.'x48.jpg';$img[3] = $dir.'x20.jpg';$md5 = md5($_username);$dir = DT_ROOT.'/file/avatar/'.substr($md5, 0, 2).'/'.substr($md5, 2, 2).'/_'.$_username;$img[4] = $dir.'.jpg';$img[5] = $dir.'x48.jpg';$img[6] = $dir.'x20.jpg';file_copy($file, $img[1]);file_copy($file, $img[4]);省略... % @, r" L# W5 T4 ^9 \+ c

: U" d# c: w( A0 q; m7 z

, c9 N/ P; g" c$ s) a 因此要利用成功就需要条件竞争了。 # K# ?6 a1 |8 G* P1 y

. |; z# H- I' \+ ^* S2 @

补丁分析

& q" M) ]$ N. Q- x7 I2 u w

 

在upload的一开始，就进行一次后缀名的检查。其中is_image如下：

function is_image($file) {    return preg_match("/^(jpg|jpeg|gif|png|bmp)$/i", file_ext($file));} . g; s; D" |' u8 t

 

. h4 m$ L% X6 r

; _' c H& S2 |( T- i7 r 在__construct()的foreach中使用了break，获取了第一个文件后就跳出循环。

4 _/ d& c5 ^* l 在is_allow()中增加对$this->savename的二次检查。

3 r: Y% [! p% z: D7 g6 I% J, O 最后

& B( N& R" U# x, v' ` 嘛，祝各位大师傅中秋快乐！ / @4 S2 w* t5 I& L/ [/ q) Y

. R$ t, n% B k# L

6 `3 f2 v ]+ W$ B  

* S7 [, q. R% q& Y% T! ?/ w