Destoon cms前台getwebshell

admin

, |, C* O, j* [* {

前言 ; ]2 n2 q& R) K4 F: G& a

2018年9月21日，Destoon官方发布安全更新，修复了由用户“索马里的海贼”反馈的一个漏洞。

n2 m) k! B9 }  

漏洞分析 2 E5 [3 l* B' T- w) Y

: Y+ i/ [8 i+ M _% y2 `" W

根据更新消息可知漏洞发生在头像上传处。Destoon中处理头像上传的是 module/member/avatar.inc.php 文件。在会员中心处上传头像时抓包，部分内容如下：

5 K* y) l0 v6 q  

& d* c) [$ m) c+ R* y2 j* f

对应着avatar.inc.php代码如下：

9 X1 L2 b8 A" O# l1 }" p6 Z; L <?php defined('IN_DESTOON') or exit('Access Denied');login();require DT_ROOT.'/module/'.$module.'/common.inc.php';require DT_ROOT.'/include/post.func.php';$avatar = useravatar($_userid, 'large', 0, 2);switch($action) {

    case 'upload': 9 P* X: ]* Z$ A3 @. K& O2 S: I

; Q" j' t: f, g         if(!$_FILES['file']['size']) {

- M& W' K; X! } H             if($DT_PC) dheader('?action=html&reload='.$DT_TIME); ; I- F+ ^# ^' X( h7 G) d! O

9 Q& ]" F5 [/ S, [. I

            exit('{"error":1,"message":"Error FILE"}'); ) P3 e3 T- G, T7 {( ]8 r& M

6 l9 N6 o& Y0 ~* s

" X$ z9 U2 r( n# ?5 I: k# P         } 0 J+ h/ o* n0 |# ^5 l. h- r

5 t- x6 h/ h: b! w* d! W         require DT_ROOT.'/include/upload.class.php';

6 A' g: S# Z* V4 O; l

  # t* l* O/ A/ K1 N/ X7 w* T

) Z4 \. n: W; l         $ext = file_ext($_FILES['file']['name']);

& [# ~+ W5 S1 \ @% }& n7 V

4 d; Y3 k5 }# N. o$ k+ j2 A6 X         $name = 'avatar'.$_userid.'.'.$ext;

        $file = DT_ROOT.'/file/temp/'.$name;

0 ?; I( D. x# G/ D

  / G- K6 d3 [+ M4 b1 f' r, R

4 t( ~" Z* K' I' D5 q4 K& n* X! }         if(is_file($file)) file_del($file); " k5 M/ U7 f- t! s6 F: b

7 A$ m0 G8 V; ^, `/ R5 [

/ [( R. f T$ P H         $upload = new upload($_FILES, 'file/temp/', $name, 'jpg|jpeg|gif|png');

8 ? o% U/ P$ J- p% a

v5 h2 b& X2 U4 W* b4 ]/ e9 a  

        $upload->adduserid = false; + Q) S/ Z; ~3 B

( p, n! f$ F6 D/ [1 l& \

R$ L9 w$ W& W, V) W- E   . n8 x. p( W/ j4 \9 n

. o+ Q7 C3 L: W' ~1 J7 o         if($upload->save()) { + \" f! d( J& ~) T( V6 @4 m, C

- ~5 ]( r! z5 r& k/ c! z

4 `) b7 a. z- s8 B+ p             ... D+ F/ Z" |; ^# z( ~

- E2 b4 m( L& Y& s3 j3 j         } else {

            ... 7 d5 t/ t" Q0 ~3 r: G$ {0 D

8 ]5 b2 } ~/ p

        }

& E7 W/ y" m3 ~% p0 l* S- v2 `& Y

8 ]* }2 K9 c+ O6 p2 T     break; 7 s' \& }4 l2 E y

' }+ N0 O* R5 z" ~

/ f* K" x) f7 Y 这里通过$_FILES['file']依次获取了上传文件扩展名$ext、保存临时文件名$name、保存临时文件完整路径$file变量。之后通过new upload();创立一个upload对象，等到$upload->save()时再将文件真正写入。 p+ J6 W' e0 t* J/ w7 d: I

upload对象构造函数如下，include/upload.class.php:25：

8 H& V& _$ {* t+ U! Q% l% ]% I

<?phpclass upload {

- }' l, h- n- J3 h1 Z, K( i

    function __construct($_file, $savepath, $savename = '', $fileformat = '') {

4 C3 K% V! b8 z. i0 G' C

; h0 X% a+ u H, u& w$ D3 R8 m* d         global $DT, $_userid;

6 [! @0 ^+ }6 Z8 k, L" ~, G

        foreach($_file as $file) {

7 N0 a5 t. s( Y) q) L' e

            $this->file = $file['tmp_name'];

2 D+ I# z1 @) t& z* {* Z             $this->file_name = $file['name'];

( Z! t' a' K& [+ k R, Z' e) {

            $this->file_size = $file['size'];

            $this->file_type = $file['type'];

            $this->file_error = $file['error'];

2 j. X) r, i. I G( b: V  

        }

2 Q- S" t+ O) @( i

        $this->userid = $_userid;

5 {# ]% Y6 g2 u$ l4 l3 g5 ~; @

6 |$ p# t/ `4 @3 }/ o+ [" L         $this->ext = file_ext($this->file_name); 1 U7 x" \- E4 z5 f0 f; G

- c+ w8 |$ ]" I3 w% Y

        $this->fileformat = $fileformat ? $fileformat : $DT['uploadtype']; ) ?9 ~" N& f$ D+ ?6 N

& J7 k- X1 j) k: [8 z$ R. Z

6 ~' z% [" S% K         $this->maxsize = $DT['uploadsize'] ? $DT['uploadsize']*1024 : 2048*1024; : D7 ~1 |" x4 C5 }+ A- L

+ \' _& |, p" R

" a) T6 x! O. q6 l$ Z9 F         $this->savepath = $savepath;

        $this->savename = $savename; + c8 u5 _& Y& ^$ g T

9 I! ~0 {- T6 z

3 R& L( N1 T1 k& t8 J' z     }}

( n# t C- s: e0 I6 R. N( m

4 P& [ ?' z9 w% ]" A 这里通过foreach($_file as $file)来遍历初始化各项参数。而savepath、savename则是通过__construct($_file, $savepath, $savename = '', $fileformat = '')直接传入参数指定。

% N' D9 _" R, f% N

因此考虑上传了两个文件，第一个文件名是1.php，第二个文件是1.jpg，只要构造合理的表单上传（参考：https://www.cnblogs.com/DeanChopper/p/4673577.html），则在avatar.inc.php中

- I3 g( Y0 H+ K+ d- s; i9 j

$ext = file_ext($_FILES['file']['name']); // `$ext`即为`php` $name = 'avatar'.$_userid.'.'.$ext; // $name 为 'avatar'.$_userid.'.'php'$file = DT_ROOT.'/file/temp/'.$name; // $file 即为 xx/xx/xx/xx.php

+ q) G, r& C4 O6 \5 S

而在upload类中，由于多个文件上传，$this->file、$this->file_name、$this->file_type将foreach在第二次循环中被置为jpg文件。测试如下： # X( |7 f7 w4 S5 e+ \

- o( c0 }# w2 J7 e4 {" w8 x   c) \& _3 `1 m! V6 N$ Z, d' q

3 \& q l% L4 ~5 q" Y# E, [ 回到avatar.inc.php，当进行文件保存时调用$upload->save()，include/upload.class.php:50: 6 _5 f. A* z. |! ]; @, r: [

7 J- e: H: K) g: _

<?phpclass upload {

. F: w, p& y$ ~2 n! x4 o1 O; V! l k4 z     function save() { 7 ~& s+ b% `9 \4 K& w' d

        include load('include.lang');

! b Y' b5 v. F3 _

9 f. U _6 L1 ]/ \, j" d         if($this->file_error) return $this->_('Error(21)'.$L['upload_failed'].' ('.$L['upload_error_'.$this->file_error].')');

- Q0 W/ ?$ _8 D! q( E  

6 C' p4 s: p8 g, K7 K2 R         if($this->maxsize > 0 && $this->file_size > $this->maxsize) return $this->_('Error(22)'.$L['upload_size_limit'].' ('.intval($this->maxsize/1024).'Kb)'); . q+ S" g1 B" A7 K5 C

! b/ h) E: K9 h0 \

 

        if(!$this->is_allow()) return $this->_('Error(23)'.$L['upload_not_allow']); 0 b1 d! g: H/ f) k5 H: R. X

5 Y. D$ t s9 x4 v Y) C; J   7 [( j3 J/ S% k2 o! M5 ]

        $this->set_savepath($this->savepath);

        $this->set_savename($this->savename); 0 j, o& O: ^2 Y6 u* }! y

! b! l/ l0 e0 E" L' u  

$ G; o: B/ t: ]* \* c3 D         if(!is_writable(DT_ROOT.'/'.$this->savepath)) return $this->_('Error(24)'.$L['upload_unwritable']);

9 e6 K; l" W I( G6 }! K5 g         if(!is_uploaded_file($this->file)) return $this->_('Error(25)'.$L['upload_failed']); : g: G9 t: M; i$ H, q

* s6 w/ o! o9 C/ N* j: k/ d, i, \

        if(!move_uploaded_file($this->file, DT_ROOT.'/'.$this->saveto)) return $this->_('Error(26)'.$L['upload_failed']); . x3 a |+ I! V6 N# s. p7 ~

4 P: F0 b5 T7 U0 f! Q  

        $this->image = $this->is_image(); 7 @: n6 M% _! f" {

( }' l, E8 R5 H" O+ c8 g         if(DT_CHMOD) @chmod(DT_ROOT.'/'.$this->saveto, DT_CHMOD); - ? g( ~1 C' p6 A

! V) g [8 J9 E/ k( E; e1 y6 e

        return true;

' b9 h: I; ~$ r% l: {

6 G. r( ~) E1 {+ K, y$ X+ ?! ]     }}

先经过几个基本参数的检查，然后调用$this->is_allow()来进行安全检查 include/upload.class.php:72： + W' R" n' P2 D, C* p+ z% j0 G

" o, ^: K* b9 h* T, a; R$ I2 O

- c3 y4 K0 H4 Y' K* q0 O9 Y$ H <?php 5 G! }: ?/ @4 @6 T& B$ j4 i& r3 M) W& }

+ \4 a& {/ f; h9 [) y* ?' L% O% m     function is_allow() {

) B4 `9 c S% I. P0 f8 R0 S$ y/ y5 T

, }0 l" j; J+ J3 F$ n9 |         if(!$this->fileformat) return false;

" N5 e! q; I0 v7 c8 f; _

v% ?- o) [( X% L/ d' X2 m3 j8 L         if(!preg_match("/^(".$this->fileformat.")$/i", $this->ext)) return false; ) B- t* }4 p( l2 x, E

* \$ |" R: r6 v2 W( H, g- Q         if(preg_match("/^(php|phtml|php3|php4|jsp|exe|dll|cer|shtml|shtm|asp|asa|aspx|asax|ashx|cgi|fcgi|pl)$/i", $this->ext)) return false; . j0 P9 N; O5 q* E- z" O

# u4 U& ~& [& U$ ^" c, w. Y: }         return true;

6 w0 ?4 v/ e$ O& e8 I1 c- _) z

8 K# n. ?5 o+ W. A @     } 6 O& R3 C# c a* K$ T

* h3 D" y, @6 K- o* h 可以看到这里仅仅对$this->ext进行了检查，如前此时$this->ext为jpg，检查通过。 0 V# R* s# m1 B. g8 m

接着会进行真正的保存。通过$this->set_savepath($this->savepath); $this->set_savename($this->savename);设置了$this->saveto，然后通过move_uploaded_file($this->file, DT_ROOT.'/'.$this->saveto)将file保存到$this->saveto ，注意此时的savepath、savename、saveto均以php为后缀，而$this->file实际指的是第二个jpg文件。 + C m! ^& e3 O9 D3 `

' q# m! d5 d {; v* ?# L1 {8 t

2 z8 q0 q. D) N, h) L' ` 漏洞利用

5 ^* ], N1 z: U

综上，上传两个文件，其中第一个文件以php为结尾如1.php，用于设置后缀名为php；第二个文件为1.jpg，jpg用于绕过检测，其内容为php一句话木马(图片马)。 ^3 J$ }; H5 F5 ~$ w8 L$ g

1 b2 y* K: U# k1 o! D  

3 }/ K3 V! ]5 R1 S( H; v% K3 q2 I$ R9 ~

. B Q# {* h' z) g( x$ y0 j6 Z 然后访问http://127.0.0.1/file/temp/avatar1.php 即可。其中1是自己的_userid

% x4 F; u9 j1 c

不过实际利用上会有一定的限制。 ( I; @* X! d( t

第一点是destoon使用了伪静态规则，限制了file目录下php文件的执行。 ) T, [& h2 { k. H' \

 

1 _# O A2 s. q- |7 G7 {6 ], W 第二点是avatar.inc.php中在$upload->save()后，会再次对文件进行检查，然后重命名为xx.jpg： 9 W3 u/ ~4 O/ c/ l

/ q1 {7 h$ J2 z 省略...$img = array();$img[1] = $dir.'.jpg';$img[2] = $dir.'x48.jpg';$img[3] = $dir.'x20.jpg';$md5 = md5($_username);$dir = DT_ROOT.'/file/avatar/'.substr($md5, 0, 2).'/'.substr($md5, 2, 2).'/_'.$_username;$img[4] = $dir.'.jpg';$img[5] = $dir.'x48.jpg';$img[6] = $dir.'x20.jpg';file_copy($file, $img[1]);file_copy($file, $img[4]);省略...

因此要利用成功就需要条件竞争了。 B: E" U8 e# h. C* `! G( j) s9 ~6 o

$ ^2 s9 N+ `* n% y/ V8 N0 P- H

* n- ?, X- B7 M1 e 补丁分析 2 |/ V4 D4 \7 J% @# @6 t% a

% t$ d+ _* d, Y( \) ]

9 `9 W- z% v* V   % z% c2 i; Y, D2 R6 k

& o# j0 T) E {; F$ _+ t8 I

在upload的一开始，就进行一次后缀名的检查。其中is_image如下：

5 q" k% _9 Z7 u2 H

function is_image($file) {    return preg_match("/^(jpg|jpeg|gif|png|bmp)$/i", file_ext($file));}

% k. R' t2 l8 K0 |- D

 

) |. F# ?- {% D; l h3 l

在__construct()的foreach中使用了break，获取了第一个文件后就跳出循环。 # O7 i: d6 C3 i6 V3 S

' a {: W" J6 \7 E

+ f) Q! N& |4 x( i9 h+ K: t 在is_allow()中增加对$this->savename的二次检查。 E8 i, u+ S j$ P8 ?

0 H: Q$ f8 {$ X7 g8 y9 L

最后 9 a) V" g0 x8 }8 k) r

5 [6 Q* C! S( g* c1 D 嘛，祝各位大师傅中秋快乐！

 

* l) R& K6 S. f( B% m2 D, B) m& @( `