Destoon cms前台getwebshell

admin

* [0 B0 v) r$ e! X& E$ Z( ?! Q

- x+ B" g4 t( A) d1 x

前言

2 f- ?$ P4 y- W5 A5 w3 D2 w8 K

2018年9月21日，Destoon官方发布安全更新，修复了由用户“索马里的海贼”反馈的一个漏洞。

* k, l, v. P8 V" E: l& p( z

) ?% q- h0 d D& m: z   3 o# E6 _7 C6 F( h. ^$ r2 N

6 M' m S: K& N! m1 f0 D: G

漏洞分析 5 i! o7 e; D+ X% _; V0 H

根据更新消息可知漏洞发生在头像上传处。Destoon中处理头像上传的是 module/member/avatar.inc.php 文件。在会员中心处上传头像时抓包，部分内容如下： % Q( h2 m' k4 c: j6 h

  0 }' D+ n( O- Q8 x; m( ?6 S. J

0 n+ T$ ]; \& O( M

# E8 i' p& I, @9 c& J' z 对应着avatar.inc.php代码如下：

: l( F2 v0 _0 I' P) S, ]. s <?php defined('IN_DESTOON') or exit('Access Denied');login();require DT_ROOT.'/module/'.$module.'/common.inc.php';require DT_ROOT.'/include/post.func.php';$avatar = useravatar($_userid, 'large', 0, 2);switch($action) { ' t" V, z7 N# K* p9 ]3 J- O. \

0 H, z, p. w5 m E/ s" _+ t     case 'upload': 3 `& u# e, Q1 E/ S$ ?* v

6 q" x6 J9 n. p; b* m! O, B6 `

        if(!$_FILES['file']['size']) {

            if($DT_PC) dheader('?action=html&reload='.$DT_TIME); 8 a4 ?, V/ Z2 d& G+ d- `) b# A

9 N/ m5 s6 f( K/ \% i( C

            exit('{"error":1,"message":"Error FILE"}');

        } 8 r2 T; i6 X, q$ s) ^

7 F+ n, I* z, W8 ]. J

0 V r7 y4 M9 Y' O         require DT_ROOT.'/include/upload.class.php';

 

; @5 b! j$ |5 T* j0 e( h9 J

9 x! o4 j8 X4 x         $ext = file_ext($_FILES['file']['name']); : ^" ~. |, G" Y' h" O; t

        $name = 'avatar'.$_userid.'.'.$ext; 5 |) y/ H Y- Z8 E4 m

) D0 U: Y( Q1 Z7 r+ d2 l7 y5 @

6 W% g" @3 r# L+ ^2 g' G( p         $file = DT_ROOT.'/file/temp/'.$name;

3 y+ b5 M5 h4 v/ _" G) _0 |

  % q+ L% x+ `1 Z* C# y. ~5 k7 ?$ H" V

        if(is_file($file)) file_del($file); ' [+ Q6 z/ H$ z- N( e X& b

/ S9 ]: G. X2 j

- c \2 }1 M+ d6 _         $upload = new upload($_FILES, 'file/temp/', $name, 'jpg|jpeg|gif|png'); " s5 H2 C: g7 H L Z( e

+ W, G4 {" q6 }+ ]; m

 

8 Q3 f/ v6 O! y/ e         $upload->adduserid = false; 1 x' @- n2 _# {3 a

  $ Z: G* H" \. \ R

. Y- b% Z9 K! [9 U3 P4 I5 `# S- T         if($upload->save()) { X; T) O7 |/ R& t. r w! N- Q

            ...

# G5 I$ f4 i- Z) o$ [- U6 J, s

        } else { 0 L. B9 s. _& Z5 O- v1 ?* C8 r3 H8 e

9 @* T# y- A5 w

' x1 d* l) b5 d, [" W/ F& h             ...

* V; Z2 C& o6 a I

        }

G1 c& K8 O: [& _- r/ l; w# g     break; 4 g' t, E" y. w7 P) I! v: L

" s2 S, X6 r( C

这里通过$_FILES['file']依次获取了上传文件扩展名$ext、保存临时文件名$name、保存临时文件完整路径$file变量。之后通过new upload();创立一个upload对象，等到$upload->save()时再将文件真正写入。 6 {& H% @- @+ A8 Y1 b9 J" S4 i' R

; Z" N( e5 ~; W6 p' q- k

upload对象构造函数如下，include/upload.class.php:25： . }0 D" A& J$ ^5 x* D, \

! D! q7 M% e3 _1 Z- t# a$ U

; r& A% N \, A) X+ [- U$ L <?phpclass upload { ) ]+ E N- i& X8 A

# K& B4 T4 J6 R1 F. V

! I' u6 l& {( M) R) }' E* B# Z' s     function __construct($_file, $savepath, $savename = '', $fileformat = '') { ; B. D4 z' B( s; z

        global $DT, $_userid;

& ~/ Z" ~3 X# \, J f# {

' b) c$ U9 Z2 t2 o5 t3 \+ k         foreach($_file as $file) { 1 f% N* P8 [1 v* P5 g: V

3 @$ K$ ]+ x q2 K. j$ ^8 G

            $this->file = $file['tmp_name'];

            $this->file_name = $file['name'];

            $this->file_size = $file['size'];

T5 d: _5 J6 O2 l8 a             $this->file_type = $file['type']; ! J5 x7 h( _7 t: L' l' F

/ N v! w* K& o- p2 @# }& t, J0 z             $this->file_error = $file['error']; K; B( k N% @' |( s3 r- ^* Q

  2 D+ g) G- W/ A! X. Y7 l

0 c( t) g. t# m' A1 I/ J2 S8 k         } / v5 S8 o8 z& c0 V2 ~

" X7 K/ c9 |+ e9 i: j8 R) j

2 }& m# `) b$ _         $this->userid = $_userid;

* v+ v1 R$ o" M! U; G         $this->ext = file_ext($this->file_name); 9 t, H3 B' ]) s3 A. I( k7 U

        $this->fileformat = $fileformat ? $fileformat : $DT['uploadtype'];

        $this->maxsize = $DT['uploadsize'] ? $DT['uploadsize']*1024 : 2048*1024; + c/ S- u: P5 k# ^/ {

3 h9 c% v; A7 k1 ?/ ^- E* {         $this->savepath = $savepath; % x6 |2 _3 @" Q% K

5 f& Y2 U0 @1 V5 ]/ h8 Z, g         $this->savename = $savename; " i( ]# _4 X( @/ ` J

7 H7 q7 n: D) q4 i

    }} 2 a5 Z6 F/ H8 \

7 g, a( j8 ?; M O. i/ n% R 这里通过foreach($_file as $file)来遍历初始化各项参数。而savepath、savename则是通过__construct($_file, $savepath, $savename = '', $fileformat = '')直接传入参数指定。 . N. s d0 Z' L; D+ x

6 U: @' f/ N) ^2 W: [8 A" k

因此考虑上传了两个文件，第一个文件名是1.php，第二个文件是1.jpg，只要构造合理的表单上传（参考：https://www.cnblogs.com/DeanChopper/p/4673577.html），则在avatar.inc.php中 B! V" l* ^: L$ C6 o

, X% V2 _7 X( l) z9 F* R

) X1 t5 E8 u- T3 A+ W% t! K $ext = file_ext($_FILES['file']['name']); // `$ext`即为`php` $name = 'avatar'.$_userid.'.'.$ext; // $name 为 'avatar'.$_userid.'.'php'$file = DT_ROOT.'/file/temp/'.$name; // $file 即为 xx/xx/xx/xx.php 1 H$ V: K! r; a/ n7 d5 J) g. ]" q

而在upload类中，由于多个文件上传，$this->file、$this->file_name、$this->file_type将foreach在第二次循环中被置为jpg文件。测试如下： 3 q1 J h% i2 ? g: S" C

f1 X: g D( `, O4 E

4 \$ y( P% z9 S- e# h  

8 o6 @0 A" F8 e- [" O

回到avatar.inc.php，当进行文件保存时调用$upload->save()，include/upload.class.php:50:

# @/ V/ o/ r3 E( f: ?1 b <?phpclass upload { 2 h1 B2 p# c6 V

( }0 j: p. v. U% A5 E6 o0 z8 a: e% h     function save() {

        include load('include.lang'); 9 m [0 Z. w4 h7 l- A

* O1 R1 s- A* x2 W) \5 ^1 `8 J; N

        if($this->file_error) return $this->_('Error(21)'.$L['upload_failed'].' ('.$L['upload_error_'.$this->file_error].')');

7 f: K$ s7 w1 O4 ?& b9 m; J  

8 B, V$ T& J/ s& N+ T& {' `         if($this->maxsize > 0 && $this->file_size > $this->maxsize) return $this->_('Error(22)'.$L['upload_size_limit'].' ('.intval($this->maxsize/1024).'Kb)'); " u& A. T, J, e3 Z

+ r6 a/ a1 n$ S( P: b   3 y( W" `; I0 J( A+ ?

+ ^1 O) G& ?+ N

        if(!$this->is_allow()) return $this->_('Error(23)'.$L['upload_not_allow']); * s, R2 k' A6 I2 \; g

+ P/ c8 [( N( `- G$ j2 U. z

( W5 M3 g% y5 d/ b   ; {. E3 f( S9 \6 {3 D" B5 `/ r

        $this->set_savepath($this->savepath);

9 h9 I9 q# s! o) F C2 |         $this->set_savename($this->savename);

! p7 Q0 y7 v* W8 c0 }6 R0 |  

! r% }! Q8 z+ c5 E- I! {( j2 x         if(!is_writable(DT_ROOT.'/'.$this->savepath)) return $this->_('Error(24)'.$L['upload_unwritable']); 9 d9 c5 h8 H7 \0 c+ Q; a, a

        if(!is_uploaded_file($this->file)) return $this->_('Error(25)'.$L['upload_failed']);

        if(!move_uploaded_file($this->file, DT_ROOT.'/'.$this->saveto)) return $this->_('Error(26)'.$L['upload_failed']);

  ( w2 M" l6 Y" ]

, v: H9 k) }/ F: [

& d: t6 V9 u- O8 _4 L         $this->image = $this->is_image(); 6 G8 }% t x* H9 l$ L4 i9 P

# t1 t+ d) o$ ]         if(DT_CHMOD) @chmod(DT_ROOT.'/'.$this->saveto, DT_CHMOD);

% `4 `* V4 S: y$ S- S7 c' h

% m+ [; u$ a, n         return true; . Z5 {& r8 _- D6 b( C

L4 ~( W4 c; l/ f: z     }} : K# H. L+ P! ]3 b4 F* V5 v6 G

% ] s* R" h, s$ k

* I! R- T W" f8 H$ [) c3 c2 p# t 先经过几个基本参数的检查，然后调用$this->is_allow()来进行安全检查 include/upload.class.php:72： * G/ X/ r* O; ^; j+ V

<?php % F3 p8 Y: i# V V5 E

    function is_allow() {

. p8 ~* d; } r2 A

u9 k, H0 E- y6 {) Z( ?/ o7 x         if(!$this->fileformat) return false;

, ^. P. \5 I# _) B! @         if(!preg_match("/^(".$this->fileformat.")$/i", $this->ext)) return false;

) y/ d- A1 u1 p6 I' [- P         if(preg_match("/^(php|phtml|php3|php4|jsp|exe|dll|cer|shtml|shtm|asp|asa|aspx|asax|ashx|cgi|fcgi|pl)$/i", $this->ext)) return false;

) \2 F7 L* w8 M0 N4 y& [8 H1 \         return true;

' r; M( U# S% C     }

" E* D( e6 o: r% S+ |$ Y 可以看到这里仅仅对$this->ext进行了检查，如前此时$this->ext为jpg，检查通过。 & K" Y! m. A# Q! F) h

5 {! r1 r: T8 e \. T/ K) N

接着会进行真正的保存。通过$this->set_savepath($this->savepath); $this->set_savename($this->savename);设置了$this->saveto，然后通过move_uploaded_file($this->file, DT_ROOT.'/'.$this->saveto)将file保存到$this->saveto ，注意此时的savepath、savename、saveto均以php为后缀，而$this->file实际指的是第二个jpg文件。

( r" P9 C0 q% Q# p 漏洞利用

# B1 J' r- P4 s/ R8 Y3 S5 W) S 综上，上传两个文件，其中第一个文件以php为结尾如1.php，用于设置后缀名为php；第二个文件为1.jpg，jpg用于绕过检测，其内容为php一句话木马(图片马)。 , d! c D! S8 e# ~0 w5 S

4 v, k0 }- c3 Z4 ?

  * i9 O* b3 @9 s" G7 k1 L' b

$ J! }9 X; v% T! J* Q

+ u3 h) n/ b0 A9 i5 R4 C1 i 然后访问http://127.0.0.1/file/temp/avatar1.php 即可。其中1是自己的_userid

3 Y" }. {/ T2 {: {8 l* F. \, `

4 Y; j4 Q* |: H6 } 不过实际利用上会有一定的限制。

/ w+ I+ u9 ^* v

第一点是destoon使用了伪静态规则，限制了file目录下php文件的执行。

- P& K! \) H0 \  

- @8 w/ l: J8 Z& |' \

第二点是avatar.inc.php中在$upload->save()后，会再次对文件进行检查，然后重命名为xx.jpg：

9 a# w. ]- R; A( @" {: K

省略...$img = array();$img[1] = $dir.'.jpg';$img[2] = $dir.'x48.jpg';$img[3] = $dir.'x20.jpg';$md5 = md5($_username);$dir = DT_ROOT.'/file/avatar/'.substr($md5, 0, 2).'/'.substr($md5, 2, 2).'/_'.$_username;$img[4] = $dir.'.jpg';$img[5] = $dir.'x48.jpg';$img[6] = $dir.'x20.jpg';file_copy($file, $img[1]);file_copy($file, $img[4]);省略...

' o9 `/ ?( G2 H7 L

! P5 B; i0 X% O# P! d 因此要利用成功就需要条件竞争了。 8 K) }, k9 ]. Z; W, h

补丁分析 5 ~' Q7 C2 v, ^1 J2 B8 m& a

! e: B0 P$ \; o$ ^

 

# G6 X9 P6 K) i 在upload的一开始，就进行一次后缀名的检查。其中is_image如下：

! m6 r% q9 Y8 t% T' U

# ~9 `+ t# A1 ]: s1 L8 k function is_image($file) {    return preg_match("/^(jpg|jpeg|gif|png|bmp)$/i", file_ext($file));} / v6 z; k+ G1 y# }# b

! {& R6 T! A0 ~+ S9 n

2 T/ o$ U! v# f' L# _   . [1 j2 L, o' `

在__construct()的foreach中使用了break，获取了第一个文件后就跳出循环。 r0 Y/ w7 w' }: ]: m4 G: t4 `

, c% m8 S c, ^& I& U6 p

在is_allow()中增加对$this->savename的二次检查。 4 D' v1 x% J/ h# S

9 r7 n# f) i: z3 ]* L2 f% n4 [, j# E/ w 最后

3 `$ f& K0 G2 ]; x3 h6 \& f

5 H. F( T* H1 ]: i* k3 U B 嘛，祝各位大师傅中秋快乐！

  ) h% G# R, F- P- Q- B* P

( c! ]( C. V y! q