Destoon cms前台getwebshell

admin

" R4 G1 I$ Y* V

0 @. e0 y& K. @$ b- C& ~5 v

$ b# `5 _) {$ N+ u

/ N+ h" u+ c# m% ?% z 前言

3 K9 R* i- R- H. c, p0 b

2018年9月21日，Destoon官方发布安全更新，修复了由用户“索马里的海贼”反馈的一个漏洞。 ; s1 t: D0 O+ {3 ?- ^ ]: H

; l7 Y" _- L" z

 

& K( {$ b* [' Z) n/ g. o1 b

漏洞分析 & c8 B' E! R, [% M

" T' G; W% c- M) X3 Y+ u5 {6 p

9 [# a- ~5 ^; [6 N' A) A( q8 ~ 根据更新消息可知漏洞发生在头像上传处。Destoon中处理头像上传的是 module/member/avatar.inc.php 文件。在会员中心处上传头像时抓包，部分内容如下：

* t" |/ l8 n: |+ U/ ]

 

2 ]9 F) c. m& h 对应着avatar.inc.php代码如下： . b' l: a% a* A l" |& v

<?php defined('IN_DESTOON') or exit('Access Denied');login();require DT_ROOT.'/module/'.$module.'/common.inc.php';require DT_ROOT.'/include/post.func.php';$avatar = useravatar($_userid, 'large', 0, 2);switch($action) {

    case 'upload': & B! q5 j, f8 ^% k( x2 e9 M

8 A( s4 O( ?- h8 n" J6 \/ k- D

/ o& l( r/ T2 }( X" S         if(!$_FILES['file']['size']) { / A8 _; C" g5 N7 `

: b: B% \1 k6 Z3 N% [* P             if($DT_PC) dheader('?action=html&reload='.$DT_TIME);

* X+ [; q. Q1 h# Q6 `$ ~

' z& m2 {- j* B" P. Z             exit('{"error":1,"message":"Error FILE"}'); 6 O; m6 H$ |) u" @# |$ W$ `

3 m9 w! F1 S9 u3 q3 w

6 @3 ?8 S N* x' `4 g         }

, Y5 Y! [6 ^# x; `% C2 |( i

        require DT_ROOT.'/include/upload.class.php';

  * \* A& p3 b# o- O% P$ m

$ H S3 F5 D5 q4 B$ j& s

        $ext = file_ext($_FILES['file']['name']);

! D5 E; [4 N" `+ R9 h, H" `         $name = 'avatar'.$_userid.'.'.$ext;

        $file = DT_ROOT.'/file/temp/'.$name;

, O0 F/ E7 m4 Y5 B  

        if(is_file($file)) file_del($file);

        $upload = new upload($_FILES, 'file/temp/', $name, 'jpg|jpeg|gif|png'); / |9 x& y J2 c( c) U

0 u9 _4 s7 }- [2 a* a' h# u0 H   : l; d7 \3 K2 x# a7 X$ H$ U$ \) v) O

        $upload->adduserid = false;

 

& f, p! [, P4 ~/ @

0 h- G5 E' W G: d" l% j; E4 o9 P         if($upload->save()) { " P( j: b( r4 P3 O

" w/ N! E+ u3 R( Q

            ... 4 A6 a) [# m+ s: e. m: c# v

' X0 ^. l X. b3 {+ E/ D- f

4 D' _* l& t) T8 u# F) |, g6 @         } else {

8 L" D7 E: Q/ m

$ l. {% y: s5 |- Z$ w0 ~6 Q5 T             ... 8 S2 V( I( q5 j4 u8 {) k

        }

$ m$ N* I3 P7 Z% L     break; " L! |% Y1 h. v. i- i) c

; u1 `3 K6 Y1 c# J K' o0 q. V7 G 这里通过$_FILES['file']依次获取了上传文件扩展名$ext、保存临时文件名$name、保存临时文件完整路径$file变量。之后通过new upload();创立一个upload对象，等到$upload->save()时再将文件真正写入。 ) a( `1 S3 z L* a, d( F# M: a

* e1 M7 U h. K Z z

- p+ M+ l+ t4 N5 m/ B0 t/ f7 M upload对象构造函数如下，include/upload.class.php:25： 4 Z: q) n; L. t% x

<?phpclass upload { 0 R) n; h! r* }% R* Q1 v* e) O

* ?3 \4 u& C7 B' ]1 }9 r( w, A* b     function __construct($_file, $savepath, $savename = '', $fileformat = '') {

        global $DT, $_userid;

$ A8 t, q, }- w4 I         foreach($_file as $file) { % Y% Y4 J) e6 C9 [ I

/ b# x; N3 D/ x! e" e( }) v0 A             $this->file = $file['tmp_name'];

( S- `: D* C0 o* L

% i0 @/ S5 J1 \$ V; D# q w% m" C& x             $this->file_name = $file['name'];

7 E) _ M$ z& U3 C4 m

+ K9 `4 x; w5 W4 R( V/ B             $this->file_size = $file['size']; 4 B* d5 C3 q: ^$ O$ e

            $this->file_type = $file['type']; * j7 d/ ]. x* B: j! o

            $this->file_error = $file['error'];

9 b5 ]/ |' d9 z$ {* G( C( U# D$ x* k6 f

 

( w) O" v# l7 E, V* z         } 2 r/ C8 ?3 B" Q; j( X) A5 {4 n/ G6 Q

6 q# ^. g; Z' K1 v$ r. @

" \9 W: I( a: @1 C         $this->userid = $_userid;

* E8 g- y. _0 X; ?- d( k. f. @7 j         $this->ext = file_ext($this->file_name);

! f3 j A q* r

        $this->fileformat = $fileformat ? $fileformat : $DT['uploadtype'];

* t8 s0 y: N4 }6 [1 g$ \         $this->maxsize = $DT['uploadsize'] ? $DT['uploadsize']*1024 : 2048*1024; ( c, A4 {- o* p& k7 t% s

! }$ c8 U6 D4 B( \( q' X         $this->savepath = $savepath;

% Q" L$ K8 t0 n0 t

7 H V% V' u* i8 c& O         $this->savename = $savename; 1 r O. v a! l- i" ]

    }} 2 S, I& U& W5 T

; U7 G7 s* ^! X8 A% S

这里通过foreach($_file as $file)来遍历初始化各项参数。而savepath、savename则是通过__construct($_file, $savepath, $savename = '', $fileformat = '')直接传入参数指定。 0 l' s1 x7 y4 r

( V* g+ L6 O0 l$ d 因此考虑上传了两个文件，第一个文件名是1.php，第二个文件是1.jpg，只要构造合理的表单上传（参考：https://www.cnblogs.com/DeanChopper/p/4673577.html），则在avatar.inc.php中 6 K* d4 b/ c: f4 H( |* J; q, ^# `

$ext = file_ext($_FILES['file']['name']); // `$ext`即为`php` $name = 'avatar'.$_userid.'.'.$ext; // $name 为 'avatar'.$_userid.'.'php'$file = DT_ROOT.'/file/temp/'.$name; // $file 即为 xx/xx/xx/xx.php 1 J4 @7 q' x$ P' A

U7 R) c/ t& V4 X9 ?. ^

而在upload类中，由于多个文件上传，$this->file、$this->file_name、$this->file_type将foreach在第二次循环中被置为jpg文件。测试如下： 2 G! u: {! [- ^0 z1 Y2 |$ q: t/ i

2 [/ e; p: W3 X& V s6 G1 z

8 D9 C8 Q; w+ w   + w" o3 i4 b# z' F

/ G e i8 J/ z# I, Y 回到avatar.inc.php，当进行文件保存时调用$upload->save()，include/upload.class.php:50:

<?phpclass upload {

( T+ h" s0 V/ v6 N, m% z

    function save() { 7 X0 L* ~; _1 y7 j

        include load('include.lang');

) |4 h8 S0 D' C; Q! g+ R2 X

        if($this->file_error) return $this->_('Error(21)'.$L['upload_failed'].' ('.$L['upload_error_'.$this->file_error].')');

3 w& D' U, d' [8 c

) n+ |# Y$ ^ L  

        if($this->maxsize > 0 && $this->file_size > $this->maxsize) return $this->_('Error(22)'.$L['upload_size_limit'].' ('.intval($this->maxsize/1024).'Kb)'); 9 O& Z% G- s# N# q

6 q) y w+ U( g7 t  

: I. h, Q' X1 N& R+ c: k( \% S

+ \) ^, x/ {) e9 S) i; A" r         if(!$this->is_allow()) return $this->_('Error(23)'.$L['upload_not_allow']); 8 y+ [1 F9 W7 C. |8 I& c- r4 T; g) E

- _2 G( R: |2 D  

        $this->set_savepath($this->savepath);

        $this->set_savename($this->savename);

  * j( ^+ G* C+ U/ h" p6 e

+ Y! w' {. ?% f! v% m* G

* Q9 d9 L2 B7 D- d6 d/ T) Z         if(!is_writable(DT_ROOT.'/'.$this->savepath)) return $this->_('Error(24)'.$L['upload_unwritable']); 3 _0 b; j8 h9 g* E" H% v

        if(!is_uploaded_file($this->file)) return $this->_('Error(25)'.$L['upload_failed']); / j1 ^5 ~( j- {' [: d5 C

5 X0 e4 }4 Q- S; `2 N* G, h

9 {% d3 H1 `, {7 G, y9 Z7 O2 V         if(!move_uploaded_file($this->file, DT_ROOT.'/'.$this->saveto)) return $this->_('Error(26)'.$L['upload_failed']);

 

V7 y0 k6 Q5 N) e5 o

        $this->image = $this->is_image(); 6 k+ h! D! `$ ?

1 ~, [3 |7 i: j$ w8 }+ s

) Z v0 B& p) q5 k4 F+ C         if(DT_CHMOD) @chmod(DT_ROOT.'/'.$this->saveto, DT_CHMOD);

: s3 r1 R' K4 m" _ I3 r         return true; - r$ z) a# O; l& {$ ?/ s

    }}

+ x9 `0 D: t$ A" |/ @" y 先经过几个基本参数的检查，然后调用$this->is_allow()来进行安全检查 include/upload.class.php:72：

3 g& B1 I+ a5 g1 d; z. s2 W: R: Y <?php

* C/ V9 q1 b1 I% j1 F3 J     function is_allow() {

) d1 u9 S1 D" j. U7 z

        if(!$this->fileformat) return false; + u/ h, l* I3 B! E; |

        if(!preg_match("/^(".$this->fileformat.")$/i", $this->ext)) return false;

+ ^/ {" U f# |& `2 o% d1 R5 N/ C

        if(preg_match("/^(php|phtml|php3|php4|jsp|exe|dll|cer|shtml|shtm|asp|asa|aspx|asax|ashx|cgi|fcgi|pl)$/i", $this->ext)) return false; 4 P, ~- K* V: i

        return true; 5 Z1 B [4 h) p: R

    } ( N# A4 S, a! O! T& o. ~* t9 y+ E a0 ~

9 v5 P, ?$ x% f/ r# K5 w. _5 N1 D% x 可以看到这里仅仅对$this->ext进行了检查，如前此时$this->ext为jpg，检查通过。

/ ^0 c2 r1 X/ n! L4 f 接着会进行真正的保存。通过$this->set_savepath($this->savepath); $this->set_savename($this->savename);设置了$this->saveto，然后通过move_uploaded_file($this->file, DT_ROOT.'/'.$this->saveto)将file保存到$this->saveto ，注意此时的savepath、savename、saveto均以php为后缀，而$this->file实际指的是第二个jpg文件。 " E6 ~% G4 D4 H+ i9 ?

漏洞利用 8 @) J( D2 N) G, }/ p

7 H1 @+ r9 f6 r* d

( J- v. Y( c/ a' | 综上，上传两个文件，其中第一个文件以php为结尾如1.php，用于设置后缀名为php；第二个文件为1.jpg，jpg用于绕过检测，其内容为php一句话木马(图片马)。 1 D; h! \0 x/ T! d

0 h$ B* Q) H% P: X/ ^

  / E$ Z) ^; `6 O- l) z% _/ p

0 l* D" d2 f5 ]5 X0 O 然后访问http://127.0.0.1/file/temp/avatar1.php 即可。其中1是自己的_userid

- I; U' |4 u9 u( }8 x

; ~; H. r8 ]3 n4 N, _0 J5 S$ U' A 不过实际利用上会有一定的限制。 * Z9 t: z) Z; I: b8 G. w, d

* R; y3 g8 l1 i* e6 s4 t

9 s1 q2 S- |' @' {, P' ?9 G4 U 第一点是destoon使用了伪静态规则，限制了file目录下php文件的执行。

  ( l$ ?% o) m8 b9 ?1 A! m S

$ V) [! d5 f/ s P 第二点是avatar.inc.php中在$upload->save()后，会再次对文件进行检查，然后重命名为xx.jpg：

( K' |+ |& a6 c! M7 I

' Q% V8 @; U/ x% b% i 省略...$img = array();$img[1] = $dir.'.jpg';$img[2] = $dir.'x48.jpg';$img[3] = $dir.'x20.jpg';$md5 = md5($_username);$dir = DT_ROOT.'/file/avatar/'.substr($md5, 0, 2).'/'.substr($md5, 2, 2).'/_'.$_username;$img[4] = $dir.'.jpg';$img[5] = $dir.'x48.jpg';$img[6] = $dir.'x20.jpg';file_copy($file, $img[1]);file_copy($file, $img[4]);省略...

% N, T! f6 \; A1 H

& p+ U/ ]& z6 j 因此要利用成功就需要条件竞争了。

6 w6 C2 r; E( X2 t! s& S7 Z

补丁分析 8 A+ L8 t; |7 Q5 [

- {4 s" d% w9 i   ) w% _7 G2 b) y5 A% p3 Q, F8 s

在upload的一开始，就进行一次后缀名的检查。其中is_image如下： . U4 K/ t0 ^9 H; n7 c( ?3 _2 k

# k/ ?) e0 C; T q, M

8 e* _' p/ P& [3 k) i function is_image($file) {    return preg_match("/^(jpg|jpeg|gif|png|bmp)$/i", file_ext($file));} : W# ^/ X% C. R

) C2 ~& h& o8 A, I   ) H% X( w: Q- y. y( [1 p

在__construct()的foreach中使用了break，获取了第一个文件后就跳出循环。

% j# k/ ~7 \: t& a' b 在is_allow()中增加对$this->savename的二次检查。

3 W% i$ D5 y7 L* n# u6 Z# z `

最后

嘛，祝各位大师傅中秋快乐！ * L6 Y# k q" H/ a! s" x

1 M c5 N0 Z# G