Destoon cms前台getwebshell

admin

" _3 s. @7 Q- p9 I, a

/ Q/ `- Q4 m1 O6 I

* U1 I. n \9 L 前言

/ a$ c/ Z2 E, A+ O( m* |: _

2018年9月21日，Destoon官方发布安全更新，修复了由用户“索马里的海贼”反馈的一个漏洞。 4 A2 g1 k8 j7 r% r% {7 g8 r

& t Q1 ^1 q& y; E# h' ]

5 n3 r" q% S# i# u8 Q  

# O' H; v# E1 Q; O 漏洞分析

根据更新消息可知漏洞发生在头像上传处。Destoon中处理头像上传的是 module/member/avatar.inc.php 文件。在会员中心处上传头像时抓包，部分内容如下： 3 A. {) O1 n3 z8 j" p. D0 @, i! P8 x

7 M. ~4 o- T+ p7 j5 n4 Y

 

! B, x& o( L( u) F9 ], b5 n! ^0 N5 \

对应着avatar.inc.php代码如下：

<?php defined('IN_DESTOON') or exit('Access Denied');login();require DT_ROOT.'/module/'.$module.'/common.inc.php';require DT_ROOT.'/include/post.func.php';$avatar = useravatar($_userid, 'large', 0, 2);switch($action) { . s5 f; P5 \2 @- a& P

    case 'upload':

! U5 N2 \4 v- } w: r) f( \' Y/ q

        if(!$_FILES['file']['size']) { - _) f# ~, S) V3 Y& a, C& O2 N% l, o

            if($DT_PC) dheader('?action=html&reload='.$DT_TIME); 9 E) {: o. I ~0 K# R

4 z: z0 |5 ?7 s: l" t             exit('{"error":1,"message":"Error FILE"}'); 0 l% T0 O' U/ P2 u4 s+ T: Z. _

2 X9 ?3 W7 j/ `! X( ]         }

2 q9 B+ b G$ Q w5 [4 }/ F- A$ O

        require DT_ROOT.'/include/upload.class.php'; ! o% B; J' R; B1 O) j* R9 N8 M

 

1 }) S( j4 Y( D1 O- l. ~' Q7 `0 t& \

$ S" ?5 \& w* K2 f         $ext = file_ext($_FILES['file']['name']); / W* M4 J u& b T. X9 Z

" D8 ~" }8 ^7 P

4 Q$ y: K+ d" P) Y% P& q         $name = 'avatar'.$_userid.'.'.$ext;

6 B! G5 W! n6 I* L& a% J" z         $file = DT_ROOT.'/file/temp/'.$name;

8 D' E) t. r; i- E% Y

+ f* X2 `( q, m( c- V# B   9 i. k0 e1 Z5 \

( Q5 {0 u2 w0 T+ x

- S5 O$ Y, x9 ]$ O q         if(is_file($file)) file_del($file); 8 x4 o& g* C: I z

3 C4 @# t* t+ [/ \0 E$ `0 W

; z6 J, Y+ @/ P \4 x' d+ Q: m         $upload = new upload($_FILES, 'file/temp/', $name, 'jpg|jpeg|gif|png'); 9 b9 `$ q# P2 x+ Q; c

 

: r7 ^6 F' C8 r* X* b4 Q( Q9 N         $upload->adduserid = false;

4 a/ R: P! p6 T/ H  

        if($upload->save()) {

. M* y2 L+ Y0 S9 z6 P

            ... ) j) @) x) t0 L! Y

. _/ V8 r: `5 B9 s         } else {

, z, t6 V0 R E& Y) O

            ...

: }/ N$ K. r( L/ u         }

/ [* V) y1 t& r

9 _" S% T6 r6 o1 F) Q$ @     break;

- ~4 a; B9 t& d) d/ A8 d

这里通过$_FILES['file']依次获取了上传文件扩展名$ext、保存临时文件名$name、保存临时文件完整路径$file变量。之后通过new upload();创立一个upload对象，等到$upload->save()时再将文件真正写入。 7 I: L5 ]# c) N* ^$ B0 O" o$ n5 ]

upload对象构造函数如下，include/upload.class.php:25： ' j% r+ a3 J1 x1 J# F) _6 @

/ j+ H; C+ k: U/ ]# h. h <?phpclass upload { 5 J! D& m' j( E7 H/ v k

8 \; L# |) G+ \3 c( Q8 S

    function __construct($_file, $savepath, $savename = '', $fileformat = '') { ! I7 c# v. h5 R: J! U, g

8 @3 {6 D% n. E8 d2 _8 w' U         global $DT, $_userid;

( b, t# }5 N( O* C* }4 c

        foreach($_file as $file) { 2 m' s s P% Q3 I0 [7 N1 A7 b6 @" x

- u: H2 _- D I+ e( K; p, d

            $this->file = $file['tmp_name']; % i3 R0 d# F2 W5 O M

$ V: \2 h4 |7 Q$ g: g" e; g

            $this->file_name = $file['name'];

' Z# m( G) n* D. ?             $this->file_size = $file['size'];

) F0 G9 T" @6 j% P. Q1 d

4 p Y1 {# M9 V             $this->file_type = $file['type']; " ^9 e; h& ^7 X- z$ m9 N `

            $this->file_error = $file['error'];

' c! c3 ?! M- h. ~# C

  * F3 |8 y) R9 e9 n. N

5 h7 g* _0 ^0 z% A         } 6 U6 S, c( K& q2 ^$ _. ~- v

$ O4 x& Q- n: U& O V; ^

5 S2 B6 r. d( g2 ~( F         $this->userid = $_userid; 4 _2 S5 b. o- f5 D2 D4 ?4 v

        $this->ext = file_ext($this->file_name); " l+ i" v6 Y' K3 P! D3 ^. B

: G' `8 ~: s6 I& I

        $this->fileformat = $fileformat ? $fileformat : $DT['uploadtype'];

        $this->maxsize = $DT['uploadsize'] ? $DT['uploadsize']*1024 : 2048*1024;

( K" D; N5 ^) k' ?; S- h- @5 q

        $this->savepath = $savepath; + U) F! V% `/ @& x* t) x

0 U" M9 R9 O: [4 x& k8 s; B

5 e; C+ C* M$ b& l G         $this->savename = $savename; & d3 [' M: J; Q( m3 C. G) r

0 g8 Y, b, h3 x1 C% i     }}

! U4 v0 v( b5 I/ \, ` 这里通过foreach($_file as $file)来遍历初始化各项参数。而savepath、savename则是通过__construct($_file, $savepath, $savename = '', $fileformat = '')直接传入参数指定。 5 E T/ o% \" L

/ w N1 R7 Y2 v& J

) J% w( k) i/ c" W' Z6 D 因此考虑上传了两个文件，第一个文件名是1.php，第二个文件是1.jpg，只要构造合理的表单上传（参考：https://www.cnblogs.com/DeanChopper/p/4673577.html），则在avatar.inc.php中

3 X5 o% k( ^0 ^

$ext = file_ext($_FILES['file']['name']); // `$ext`即为`php` $name = 'avatar'.$_userid.'.'.$ext; // $name 为 'avatar'.$_userid.'.'php'$file = DT_ROOT.'/file/temp/'.$name; // $file 即为 xx/xx/xx/xx.php " {1 U# S; V' v x6 X8 y- m. x

" U, u% N9 `/ j8 R) D

5 B4 ^, A8 f% R9 F, N/ Y6 F2 h 而在upload类中，由于多个文件上传，$this->file、$this->file_name、$this->file_type将foreach在第二次循环中被置为jpg文件。测试如下：

( h+ H1 ` y: P8 f: ]   + P2 ^7 F5 ^/ k9 B3 @7 c3 z* i

; H% M9 T3 m- h8 _4 s( P

回到avatar.inc.php，当进行文件保存时调用$upload->save()，include/upload.class.php:50: 8 h' C# j+ u! ]" y8 \6 e' x

" H/ o7 f; w7 F3 b

<?phpclass upload { ! i8 @% Z9 e0 Y

7 P6 _$ n. {2 G8 P3 S* J9 ? z

) y2 K" b5 v- c$ E9 e1 v     function save() { 3 `' g+ X' p' P% A! K

) u' y. U! L5 e

: {/ z* Y( R3 h7 K; S         include load('include.lang');

( }3 l, X6 {6 S6 \- v( s+ G$ |         if($this->file_error) return $this->_('Error(21)'.$L['upload_failed'].' ('.$L['upload_error_'.$this->file_error].')'); - P7 w w3 |% M x; u% f G

q6 `- p/ {% z, b8 j4 B+ S

  ; o# t$ m0 L0 Z, D2 o

7 u! K6 W' o w         if($this->maxsize > 0 && $this->file_size > $this->maxsize) return $this->_('Error(22)'.$L['upload_size_limit'].' ('.intval($this->maxsize/1024).'Kb)'); ! D+ D( t/ u: `7 F( M$ x

+ Z3 H8 ]0 v3 H1 i

 

( O4 @& o/ r8 A

* w5 Q0 J4 f4 h, f: A         if(!$this->is_allow()) return $this->_('Error(23)'.$L['upload_not_allow']);

" S. R% W2 N" H( j% }, A   ; m6 f0 I$ p& }& b. T$ Y' y

) L- u( a; G7 `& P; u, g: Z6 V

        $this->set_savepath($this->savepath);

' Y" Y* [; ~9 s. f m$ i' K7 _) L

0 u0 W( r! _" G) i: D, _& ]+ I: s         $this->set_savename($this->savename); # \ f" e$ O! a# Z$ l' P- C

; g2 Y, Q/ I! k

+ l7 s' M+ H, x* A% w+ f' o( F   ; a7 m: m3 r# ?+ q" \+ I d7 ?6 H. O

I" z+ g/ Z' d7 }% ~

5 R1 H2 k/ K, M+ W         if(!is_writable(DT_ROOT.'/'.$this->savepath)) return $this->_('Error(24)'.$L['upload_unwritable']);

' S! d( V6 l" f; `, C$ e

( |1 G6 a$ K" n         if(!is_uploaded_file($this->file)) return $this->_('Error(25)'.$L['upload_failed']); 7 r5 p& w5 o& u% ?+ M

        if(!move_uploaded_file($this->file, DT_ROOT.'/'.$this->saveto)) return $this->_('Error(26)'.$L['upload_failed']);

$ B0 Z" E% O+ H/ C% v( n0 I, S" G

 

J: ?) `9 z3 e+ m7 x

/ @" g* E8 Q z2 O# K         $this->image = $this->is_image();

2 p! Y! }7 m; C         if(DT_CHMOD) @chmod(DT_ROOT.'/'.$this->saveto, DT_CHMOD); 3 C0 l% ?6 A, K: x

: P9 k# x% V) q& H. c

. [; S. J& |5 i" k g' @, @9 o# g         return true; 7 P) E) J* a/ F- J0 {

8 Q& k0 ]1 H6 I0 {) e0 j* q( B     }}

: Y: F t" S( }& X9 ^+ h

先经过几个基本参数的检查，然后调用$this->is_allow()来进行安全检查 include/upload.class.php:72：

1 L% h! [6 q! W1 ^ <?php ) n9 a% l+ @+ J" z+ }* o3 x. Z

. m+ F7 z& n# ^3 ?/ D) R5 l! c     function is_allow() {

        if(!$this->fileformat) return false; " N9 R5 T- e" |& e/ D

C8 E1 X- h1 s$ W# `. i

+ q; G* K3 j2 d4 ]- l' j         if(!preg_match("/^(".$this->fileformat.")$/i", $this->ext)) return false; & ~, S* m/ S! Z+ h$ ]1 k( u

* Y3 c! [- r' a. ^- U' o7 C         if(preg_match("/^(php|phtml|php3|php4|jsp|exe|dll|cer|shtml|shtm|asp|asa|aspx|asax|ashx|cgi|fcgi|pl)$/i", $this->ext)) return false;

# H( I. r s5 m         return true; ! H4 j1 h6 C4 Q. m& A

    }

1 Y+ Y* ~: m/ C" j- I

可以看到这里仅仅对$this->ext进行了检查，如前此时$this->ext为jpg，检查通过。

" l$ V6 ~5 ^6 J

, v! ?* d1 m: A8 E- T 接着会进行真正的保存。通过$this->set_savepath($this->savepath); $this->set_savename($this->savename);设置了$this->saveto，然后通过move_uploaded_file($this->file, DT_ROOT.'/'.$this->saveto)将file保存到$this->saveto ，注意此时的savepath、savename、saveto均以php为后缀，而$this->file实际指的是第二个jpg文件。

漏洞利用

! M! C' @1 C6 C+ q i9 c7 w

综上，上传两个文件，其中第一个文件以php为结尾如1.php，用于设置后缀名为php；第二个文件为1.jpg，jpg用于绕过检测，其内容为php一句话木马(图片马)。 9 ]7 C( B% [* F! d, q8 Y

  6 q+ @6 i$ U) ]8 B

% S' R. l/ X. M) P( {) ~( i

: ^- x2 F# X: [' c3 M- f, n y 然后访问http://127.0.0.1/file/temp/avatar1.php 即可。其中1是自己的_userid # w) b; f( a; e# {

/ N! U2 D. q$ `

% W4 M' \" m& H' [0 [% D 不过实际利用上会有一定的限制。

' `+ c1 j( R i+ o* C

; d$ z3 c& y4 s9 ?+ v- \* \ 第一点是destoon使用了伪静态规则，限制了file目录下php文件的执行。 8 q& [, r( T! p& i8 @' J

5 j8 W: u! `+ s& U# z. u   ! q1 Q I& ]- v3 i" B

5 I3 f+ {+ u/ E2 S4 j. j+ E

7 Z+ x, x2 L1 M, S( |* g- N, z 第二点是avatar.inc.php中在$upload->save()后，会再次对文件进行检查，然后重命名为xx.jpg：

! A0 H% l8 B' y

省略...$img = array();$img[1] = $dir.'.jpg';$img[2] = $dir.'x48.jpg';$img[3] = $dir.'x20.jpg';$md5 = md5($_username);$dir = DT_ROOT.'/file/avatar/'.substr($md5, 0, 2).'/'.substr($md5, 2, 2).'/_'.$_username;$img[4] = $dir.'.jpg';$img[5] = $dir.'x48.jpg';$img[6] = $dir.'x20.jpg';file_copy($file, $img[1]);file_copy($file, $img[4]);省略...

# D0 o! j& R% {$ `8 W) D, @0 Q) e

因此要利用成功就需要条件竞争了。 , H; C2 V, V! B6 c- ?& U

7 B; W4 |4 t U9 f6 i 补丁分析

. E" J- H& T9 S$ Q$ W0 w' _   - @ g; U" _- a9 _) z( r- K

% O9 M" G; E- O2 Z e% o

在upload的一开始，就进行一次后缀名的检查。其中is_image如下： 8 `9 n3 x, o% @2 D

. n$ M5 n* c5 h- I5 t% x function is_image($file) {    return preg_match("/^(jpg|jpeg|gif|png|bmp)$/i", file_ext($file));}

# U* T% K; f4 U

 

在__construct()的foreach中使用了break，获取了第一个文件后就跳出循环。 1 y, F" ]: c9 w5 m

; n" F! D: ?- D3 s4 m8 n

/ Z- G# X+ c" Y. b: X 在is_allow()中增加对$this->savename的二次检查。

6 H# k" l0 ]; ]! k 最后 * [9 I" f1 q) \; b, ?4 `- k

嘛，祝各位大师傅中秋快乐！

, P* G5 s% c, s. m7 D