Destoon cms前台getwebshell

admin

8 Y& C8 F- G* d7 T7 Q

5 j, u5 e% I, f1 l( c$ `

前言

0 j; U6 r" |) E* ~! f% d8 B

( k& b7 [. ^% w$ z: L 2018年9月21日，Destoon官方发布安全更新，修复了由用户“索马里的海贼”反馈的一个漏洞。 ) K O) ?" E# n9 ~/ H* ], I

; x3 @. y/ z5 o

 

% A1 W: p2 v. Z- n% u; f

漏洞分析

+ V! Z" t# q' U& z

根据更新消息可知漏洞发生在头像上传处。Destoon中处理头像上传的是 module/member/avatar.inc.php 文件。在会员中心处上传头像时抓包，部分内容如下：

9 m7 h1 z0 m: g# N- A

 

# V- ~/ q* E9 t. g- d

对应着avatar.inc.php代码如下： ! x8 y( P% y% n/ h+ B

' s& j0 o- [) c* _

<?php defined('IN_DESTOON') or exit('Access Denied');login();require DT_ROOT.'/module/'.$module.'/common.inc.php';require DT_ROOT.'/include/post.func.php';$avatar = useravatar($_userid, 'large', 0, 2);switch($action) {

# j- }8 H& ] [3 o9 v     case 'upload': . ^7 q* ~5 n; i7 t* ]

9 v3 H6 O {" X v8 T: p         if(!$_FILES['file']['size']) { 9 n) @+ D8 L' C7 Y! d% h

. c$ D' ]% M! f3 _* F             if($DT_PC) dheader('?action=html&reload='.$DT_TIME);

5 D N2 {: j; s; p7 g8 M             exit('{"error":1,"message":"Error FILE"}');

$ A6 r, b+ B6 C7 @2 h$ E& f         } 2 Y0 E$ u6 j2 M/ p, P4 Z" C7 z7 V

8 h( \$ N& ?: A8 t

        require DT_ROOT.'/include/upload.class.php';

1 r# B% P1 F5 d, i# B( v

 

. ^) V# C( A/ ]+ V' w7 R

( [. h, C( Y) Q1 F$ n; v0 |         $ext = file_ext($_FILES['file']['name']); 4 A3 o1 D) p. Z$ N3 ]: R

- Y" S$ J2 \, G- a2 H" X8 v         $name = 'avatar'.$_userid.'.'.$ext; 9 n ~. B8 L- \* W8 V+ n5 t. J+ S8 H! }

! t/ U" {( J: ?/ B% R$ [% r, X

        $file = DT_ROOT.'/file/temp/'.$name;

+ o, Z/ F- x3 {% T) U. ?' }   ' ~% e l& h! A- F/ Z2 r+ T: Z

# O7 m# E g8 }, z         if(is_file($file)) file_del($file);

        $upload = new upload($_FILES, 'file/temp/', $name, 'jpg|jpeg|gif|png');

& L8 M+ `( i ~& F

  & l/ }* @: W: [/ f+ Z/ S

) g+ {5 m \( K4 k L$ P2 C9 v

        $upload->adduserid = false;

1 {# o: u9 u1 h" L1 u5 w5 A   ' l W' d* @# z( D4 j' O+ o

8 v. P# g4 Z; |" p5 }5 Q! Q4 O* W6 j

* A5 m5 g% |2 Q4 v         if($upload->save()) { 0 j2 V$ N6 o7 C( X

2 h, }+ D# i. y g+ K" I; ~

            ... f) s( W0 [* E

+ K3 F" N8 B2 z& R1 d5 T

/ a) ]# W& {# B         } else { 8 T/ D- I8 P( }3 b7 K: g7 G" O

G( q- M, x' v4 C6 m4 K3 Y6 a             ...

: @. }1 p! F8 y2 ]

4 d3 @! R- a3 n         }

4 m# ^2 T+ }' E$ I2 l, H2 J

7 M8 U% Y3 C4 O# s" E( E     break;

% `6 F( s, a+ n2 a

, R; h/ K: [$ O! A 这里通过$_FILES['file']依次获取了上传文件扩展名$ext、保存临时文件名$name、保存临时文件完整路径$file变量。之后通过new upload();创立一个upload对象，等到$upload->save()时再将文件真正写入。 ; w) K/ {4 _/ d4 r0 c! {

& J, A) O7 w8 J( W. M8 v7 k* n; B upload对象构造函数如下，include/upload.class.php:25：

<?phpclass upload {

    function __construct($_file, $savepath, $savename = '', $fileformat = '') {

- F9 M8 b4 p5 J2 `; S U( E         global $DT, $_userid; 5 s+ \& H4 n) i: U5 S6 o

) g- J a- I8 |) p

        foreach($_file as $file) { 1 c$ H7 d5 g7 P$ q, m- g" S

' u' s9 G: h; M/ C- u0 J3 N% l             $this->file = $file['tmp_name'];

            $this->file_name = $file['name']; . y1 _; d( T% P B7 A0 x2 S

* z4 n$ ]- i4 P. `7 c [8 G* l8 V

            $this->file_size = $file['size'];

            $this->file_type = $file['type'];

            $this->file_error = $file['error'];

  + O+ a2 V/ L% a. j- D

! w: t8 o( C/ n, C         }

        $this->userid = $_userid; 0 y0 S6 L7 x* a6 F+ t' \- R- N

        $this->ext = file_ext($this->file_name);

4 Q& Y1 Q( h& R: k2 H% m

! w( j1 I% v8 {% p% j% r         $this->fileformat = $fileformat ? $fileformat : $DT['uploadtype'];

) \# e% ^3 {3 ?0 f# m6 x# v         $this->maxsize = $DT['uploadsize'] ? $DT['uploadsize']*1024 : 2048*1024; 3 ^" w: j' D5 ?

$ J2 N4 \' _0 ~: @( I         $this->savepath = $savepath; & M: ]3 i2 t' d3 o! H% a# {. k# Y

' }2 H$ }: {# B, S

, t% y) E" Z. W! x6 k4 Y: |         $this->savename = $savename; 1 B0 U2 y5 W' j/ i( Y

, K* [' D, @( ~, C: l) \

1 u, C/ j2 }9 j( M$ F- F2 E/ ^     }}

这里通过foreach($_file as $file)来遍历初始化各项参数。而savepath、savename则是通过__construct($_file, $savepath, $savename = '', $fileformat = '')直接传入参数指定。

" r' L0 s# G6 u: w2 \! _# I

因此考虑上传了两个文件，第一个文件名是1.php，第二个文件是1.jpg，只要构造合理的表单上传（参考：https://www.cnblogs.com/DeanChopper/p/4673577.html），则在avatar.inc.php中 . b7 f+ Y0 L# L# H' I) x8 s# g- p

$ext = file_ext($_FILES['file']['name']); // `$ext`即为`php` $name = 'avatar'.$_userid.'.'.$ext; // $name 为 'avatar'.$_userid.'.'php'$file = DT_ROOT.'/file/temp/'.$name; // $file 即为 xx/xx/xx/xx.php

5 I8 j) g. [+ q

; \9 ? k( G% k5 n+ e6 ^$ Y 而在upload类中，由于多个文件上传，$this->file、$this->file_name、$this->file_type将foreach在第二次循环中被置为jpg文件。测试如下：

  ( S+ G* s0 l9 A

1 y5 q% B/ g% A6 G) i8 v 回到avatar.inc.php，当进行文件保存时调用$upload->save()，include/upload.class.php:50: + j. c" m) v0 f/ D) i

4 }# ^! Y3 d/ U& | <?phpclass upload { # ^( Q l g6 x

6 W! E B; Q/ I; B f     function save() {

/ H: Z2 u6 f7 I. [! h         include load('include.lang'); 1 j* x1 V9 T$ o9 r- Z

: m* ], M, R; C! _

        if($this->file_error) return $this->_('Error(21)'.$L['upload_failed'].' ('.$L['upload_error_'.$this->file_error].')');

  / \* B0 Z5 L: b5 d# m; U' _/ ]/ e

6 C+ T1 t% \% t3 s. B3 {, u1 Y

        if($this->maxsize > 0 && $this->file_size > $this->maxsize) return $this->_('Error(22)'.$L['upload_size_limit'].' ('.intval($this->maxsize/1024).'Kb)');

- o9 R, M2 q0 U4 k

 

        if(!$this->is_allow()) return $this->_('Error(23)'.$L['upload_not_allow']); 3 {: W' k+ _% p7 Z7 U" v) q9 k

+ @( t/ Z1 a7 x/ |, a/ F

 

5 t' Y. ~- ^9 v7 Z1 G

        $this->set_savepath($this->savepath); & x9 ]+ k3 B9 i! p9 j% ~/ v/ C) g

7 y1 s- y' W2 c I3 r# h

# M A( a( P; {$ f4 y6 H         $this->set_savename($this->savename); + B3 x+ I& T* I

 

# E0 c5 g4 K7 r1 c% G) ?

        if(!is_writable(DT_ROOT.'/'.$this->savepath)) return $this->_('Error(24)'.$L['upload_unwritable']);

1 v" s( B" L+ j2 \! S         if(!is_uploaded_file($this->file)) return $this->_('Error(25)'.$L['upload_failed']); # `: x! ]1 E+ Y

9 N1 `' k O- G* [/ o0 I8 v6 V5 C

! N# u3 X8 J* ^9 H' x         if(!move_uploaded_file($this->file, DT_ROOT.'/'.$this->saveto)) return $this->_('Error(26)'.$L['upload_failed']); 8 s H5 Z' K* a t* p

9 ?- B$ n9 Z& T% h  

7 a! _8 U6 G+ m0 r5 S% W9 r3 S% j

        $this->image = $this->is_image();

: _4 ^+ a; c0 f0 t0 `! w         if(DT_CHMOD) @chmod(DT_ROOT.'/'.$this->saveto, DT_CHMOD); , l! N. d1 y9 ^0 c

- O9 h2 N5 h6 W G) q/ z

' G. ^$ ^1 m* t; i* ^. E' A8 K         return true; # U/ S, o; A, w0 P& j

2 g: P+ z% @- z: E) K$ t     }}

" g" f+ {3 U0 ^. g) U$ \; ^* J" y

" ^) G6 B) t, K6 h1 V- p4 l2 B, ` 先经过几个基本参数的检查，然后调用$this->is_allow()来进行安全检查 include/upload.class.php:72： : E5 n3 G8 G M5 @1 @7 F& t# }

, u+ M4 l h, G <?php

! K7 R' b2 s- n# }/ u     function is_allow() { Q2 G6 \" ]( y! m! _

8 S* Y& N, e: C$ t, K; }: @

        if(!$this->fileformat) return false;

4 S/ g1 M) X) c! w" I& _7 g/ A% b

+ W9 \4 y$ F& T# b         if(!preg_match("/^(".$this->fileformat.")$/i", $this->ext)) return false; ; f) Z+ J, z' W! Z5 D; H4 d

2 ^: E4 m& y4 O; K/ }3 o. m( c. t         if(preg_match("/^(php|phtml|php3|php4|jsp|exe|dll|cer|shtml|shtm|asp|asa|aspx|asax|ashx|cgi|fcgi|pl)$/i", $this->ext)) return false;

6 h' ]5 l" s* b

        return true;

! z' N* i3 b" I. \) O9 \7 C% H

    } 5 W; l& L1 P/ B2 [

7 I1 D6 f, c- V [

可以看到这里仅仅对$this->ext进行了检查，如前此时$this->ext为jpg，检查通过。

q$ R( B' k9 q; ~, i

接着会进行真正的保存。通过$this->set_savepath($this->savepath); $this->set_savename($this->savename);设置了$this->saveto，然后通过move_uploaded_file($this->file, DT_ROOT.'/'.$this->saveto)将file保存到$this->saveto ，注意此时的savepath、savename、saveto均以php为后缀，而$this->file实际指的是第二个jpg文件。

- H0 ~' c! Q- O+ o# U 漏洞利用 9 z2 p! i5 R8 s' p- c

$ f. z5 S; z/ s9 \/ e f

综上，上传两个文件，其中第一个文件以php为结尾如1.php，用于设置后缀名为php；第二个文件为1.jpg，jpg用于绕过检测，其内容为php一句话木马(图片马)。 + y; B6 p. z2 d3 q

: D \5 n; N8 ~, `+ Y! t! m   / |, s7 b1 }( n

然后访问http://127.0.0.1/file/temp/avatar1.php 即可。其中1是自己的_userid 7 G6 R! t% g# B3 Y! {3 `1 a6 {

$ c2 [ p" a3 T' j- j4 v

. G% j# F' [, V0 a { 不过实际利用上会有一定的限制。

第一点是destoon使用了伪静态规则，限制了file目录下php文件的执行。

) ~# _% n" ?. A% D, Y" _' i  

第二点是avatar.inc.php中在$upload->save()后，会再次对文件进行检查，然后重命名为xx.jpg： ! G" v4 a" z1 w1 n) x0 Q

省略...$img = array();$img[1] = $dir.'.jpg';$img[2] = $dir.'x48.jpg';$img[3] = $dir.'x20.jpg';$md5 = md5($_username);$dir = DT_ROOT.'/file/avatar/'.substr($md5, 0, 2).'/'.substr($md5, 2, 2).'/_'.$_username;$img[4] = $dir.'.jpg';$img[5] = $dir.'x48.jpg';$img[6] = $dir.'x20.jpg';file_copy($file, $img[1]);file_copy($file, $img[4]);省略... . f& w- I! s Z# B

0 F H6 l1 A. l

3 N# h' o: e2 x6 n7 _ 因此要利用成功就需要条件竞争了。

% I: z& _8 V$ ^) K9 @ 补丁分析

  9 P" ^6 L+ W# F0 ^0 l. H- B7 J

2 U/ r% r$ }. F. l T

在upload的一开始，就进行一次后缀名的检查。其中is_image如下：

9 M* D8 ^, C: b' r function is_image($file) {    return preg_match("/^(jpg|jpeg|gif|png|bmp)$/i", file_ext($file));}

 

p8 \. }9 u, T$ R. m

; h+ ~. a* ]: A Y" }5 N1 K' i 在__construct()的foreach中使用了break，获取了第一个文件后就跳出循环。

; G6 t$ {* D/ s" N0 L4 M

在is_allow()中增加对$this->savename的二次检查。 & ]8 C6 c$ y$ e; P

最后 8 R. D3 V1 I$ U3 X, ?+ S+ u# a* R

9 C3 D; ^7 _) @* i \

% w+ L I9 {1 s4 a 嘛，祝各位大师傅中秋快乐！

! k% J% l7 f# `% R- d9 p

 

. R' O% U' |, ~