Destoon cms前台getwebshell

admin

6 {/ x& R* d( \0 J6 ]% b4 l8 f1 R

- ^7 J) `( P: M. L w* i 前言

4 {5 a( s' W! t4 F 2018年9月21日，Destoon官方发布安全更新，修复了由用户“索马里的海贼”反馈的一个漏洞。

! [; c" M3 M7 B5 E! k7 u6 Y9 g

0 V" W. S4 p* P( L$ M9 D( G  

' @5 A2 u7 @& T: X; z

: X- Q* L0 n4 J! B) i2 Y- ` 漏洞分析 1 _6 H9 i; @' `& ]

5 J" ?) Q8 u. |& {8 v% u S

根据更新消息可知漏洞发生在头像上传处。Destoon中处理头像上传的是 module/member/avatar.inc.php 文件。在会员中心处上传头像时抓包，部分内容如下： 2 \4 x( y% X N/ g8 z' l/ F2 G

9 z+ O& N3 `7 @( L9 l% \

- B5 A+ V2 M4 N' z4 _2 {* R* G   8 f! W; c& ]1 b9 q

0 n* I. ^) c/ ]% |% s9 t! y, g' C

7 G; o& f/ `; f- }# T4 q' ~ 对应着avatar.inc.php代码如下：

<?php defined('IN_DESTOON') or exit('Access Denied');login();require DT_ROOT.'/module/'.$module.'/common.inc.php';require DT_ROOT.'/include/post.func.php';$avatar = useravatar($_userid, 'large', 0, 2);switch($action) { ) t4 a' `' b* L7 A( N, W

% m1 h! O; G. L& Q e: U     case 'upload':

        if(!$_FILES['file']['size']) {

9 z% p4 ~/ `7 ]- X) W             if($DT_PC) dheader('?action=html&reload='.$DT_TIME); . I+ N, x [2 w: m

2 s# p% r/ h/ ^; d2 t

" n, f1 W/ E9 w0 ^0 ^             exit('{"error":1,"message":"Error FILE"}'); ' S" \; W: b( }; c

& X! Z8 C! T6 |* N' r         }

8 f8 ^& Z; B" g9 W5 l* D; @. V

        require DT_ROOT.'/include/upload.class.php';

! x$ p- s) d9 y) Y6 E/ ~

 

        $ext = file_ext($_FILES['file']['name']); & O) @+ P; \- G+ t! v( h: p

        $name = 'avatar'.$_userid.'.'.$ext; & z! j3 v, S4 x* h' n

( y( m) P$ |" h( y, J$ d; ^, Y         $file = DT_ROOT.'/file/temp/'.$name;

# d) l$ N) E J( _7 }/ J   % L$ _) ]0 L' y

8 M4 J- w' i! x

        if(is_file($file)) file_del($file);

6 ~! q( Z& ?+ @" \1 v! n) S; d2 M

        $upload = new upload($_FILES, 'file/temp/', $name, 'jpg|jpeg|gif|png'); - e) }+ t1 G5 a! o# S

, i+ b8 c) Q6 C! g8 d: f  

% d7 G/ z2 \+ j; M         $upload->adduserid = false;

2 H, `3 E+ t; T( r' ?( O' Z7 J

  0 t% F, d" W3 S# P% e" U+ E# g+ @

        if($upload->save()) { 9 W& V; {+ r [7 P+ x0 ^7 j% I6 a0 g

8 S' H% G# C$ e) ?: l3 g             ...

/ \% X$ T3 h# z+ N# B, H3 N6 U; y' a         } else { ' ^' k, T- [( {2 h$ m

            ...

        }

5 I9 F0 j5 K7 x* g' f: x     break; ( V# J# E' h3 c! Z9 o3 V# I) o7 i

$ N) E+ s/ |+ `+ [# w

这里通过$_FILES['file']依次获取了上传文件扩展名$ext、保存临时文件名$name、保存临时文件完整路径$file变量。之后通过new upload();创立一个upload对象，等到$upload->save()时再将文件真正写入。

& u$ l2 z0 N6 _3 O% ]. | upload对象构造函数如下，include/upload.class.php:25： $ D5 M9 H' Y. D

4 C, j; F1 Z) S1 _& {

& I8 l0 {' h' B5 y <?phpclass upload {

    function __construct($_file, $savepath, $savename = '', $fileformat = '') {

+ v2 g& _3 S" {% X2 [$ u' M         global $DT, $_userid; 4 N! h" S6 w( |9 r

, ?2 C7 s. N, i

9 o# n9 m" B* m6 O( ]! [0 l         foreach($_file as $file) { / E/ b6 x: p6 n* f6 i m- n s3 L9 `

            $this->file = $file['tmp_name']; + w6 K+ ? \' ]/ ]. _

" b8 v7 E: Y6 n3 k# U8 |5 |0 s' d

            $this->file_name = $file['name']; ( s; O/ K) N5 d& t5 A

$ r2 L6 H! t8 n( R8 u

3 w$ G" w7 ]! @: C3 o2 t# W             $this->file_size = $file['size'];

0 y+ x: ?! [0 [) ?2 E5 V

            $this->file_type = $file['type'];

; x+ C' O/ G* l1 [/ @

1 g1 Z% W" F+ I. V5 n: N5 n             $this->file_error = $file['error'];

m/ i/ G/ ^6 B3 e; p   & E% b" U- F/ {

2 W0 y" j$ r" k

+ N6 F- b+ s9 C3 |         }

' I8 F3 S! \( a% F, E K

2 Q% }4 K" J+ u         $this->userid = $_userid; 3 Q8 W: M: e) ^! d5 p' s7 V7 M8 f! @3 R0 l

+ t$ \! w/ D% L

        $this->ext = file_ext($this->file_name);

" @, e9 l# D p

        $this->fileformat = $fileformat ? $fileformat : $DT['uploadtype'];

        $this->maxsize = $DT['uploadsize'] ? $DT['uploadsize']*1024 : 2048*1024;

        $this->savepath = $savepath;

        $this->savename = $savename; * Y; i" q2 i" t' S g n

) v+ I, p0 M4 f

    }}

这里通过foreach($_file as $file)来遍历初始化各项参数。而savepath、savename则是通过__construct($_file, $savepath, $savename = '', $fileformat = '')直接传入参数指定。 4 y% ^2 {6 ?: F8 ?+ _, `

因此考虑上传了两个文件，第一个文件名是1.php，第二个文件是1.jpg，只要构造合理的表单上传（参考：https://www.cnblogs.com/DeanChopper/p/4673577.html），则在avatar.inc.php中

$ext = file_ext($_FILES['file']['name']); // `$ext`即为`php` $name = 'avatar'.$_userid.'.'.$ext; // $name 为 'avatar'.$_userid.'.'php'$file = DT_ROOT.'/file/temp/'.$name; // $file 即为 xx/xx/xx/xx.php - N8 f8 b& E1 o Q' L0 N8 v% ^, P

( T$ e' }: B G% y( L5 B/ a. h

8 _# s4 ?- R1 L* B: O& v$ W 而在upload类中，由于多个文件上传，$this->file、$this->file_name、$this->file_type将foreach在第二次循环中被置为jpg文件。测试如下： : M8 t( Z7 i! C

 

" `: ~; j3 a/ E 回到avatar.inc.php，当进行文件保存时调用$upload->save()，include/upload.class.php:50:

! `, b0 n- x; G

; a9 `$ J3 E/ d) n/ k; E <?phpclass upload { 7 b8 b8 _2 i! ]& P

    function save() { ' J9 \. m) w: {- R

1 y1 f2 @% z Q6 F         include load('include.lang'); t. N' _* G! b5 S

, _! _+ T5 b8 }1 ^* d& h1 v

+ [4 F* Z+ _' O/ [/ ~' u4 M; t         if($this->file_error) return $this->_('Error(21)'.$L['upload_failed'].' ('.$L['upload_error_'.$this->file_error].')');

 

. R- \+ e8 \% h2 v

' }' E/ }/ `4 m- B7 _6 ^; \         if($this->maxsize > 0 && $this->file_size > $this->maxsize) return $this->_('Error(22)'.$L['upload_size_limit'].' ('.intval($this->maxsize/1024).'Kb)'); p. V. M+ p5 g3 m6 [+ T5 Z' x

- _1 C- L h- T) g0 n7 S* N6 b

1 H# C, f& x9 U& h: q& @  

: M: w% C3 r: ~; _) {

: ]8 k) k8 B$ t( A6 p         if(!$this->is_allow()) return $this->_('Error(23)'.$L['upload_not_allow']);

& l; D- U$ w! i% Q( p; k( Y" w

* @3 a' j$ L k" w- Q/ |   & P- i* e7 y5 M# @+ `4 c6 m

        $this->set_savepath($this->savepath);

9 j4 ^( {7 N& K) S3 h0 v

h5 m( u" n: t; k! _         $this->set_savename($this->savename);

! I- C* M2 f( _$ ]6 v a; _

  0 B' V& z$ @. K' i9 p- J

# ~. ^: C- H* u& A         if(!is_writable(DT_ROOT.'/'.$this->savepath)) return $this->_('Error(24)'.$L['upload_unwritable']);

9 K1 Y7 ]) g5 i' g

        if(!is_uploaded_file($this->file)) return $this->_('Error(25)'.$L['upload_failed']); . i3 f2 W, j6 e& r, q1 O/ [1 l) X& N

) W% H; e8 z0 ^. T' ~7 }% x

        if(!move_uploaded_file($this->file, DT_ROOT.'/'.$this->saveto)) return $this->_('Error(26)'.$L['upload_failed']); 6 n) _# U4 f/ l+ K4 I v8 y- U

' u8 w3 X. ^7 k2 H

2 S: S, k& t z1 S  

1 j2 d/ [; t: p3 M1 [+ \7 R/ Q

        $this->image = $this->is_image(); % j4 o1 M0 T" E% i' q

        if(DT_CHMOD) @chmod(DT_ROOT.'/'.$this->saveto, DT_CHMOD); 2 D! ?" T, S# j" p, |" }

: T. b! ^! Q7 X8 f. h/ f, b

% w1 X0 z9 y% P" X0 B         return true;

& |# M! G( i' S' I     }} 9 |6 H5 J6 O- Q7 H

' t' n8 k% ?1 B s( u9 `4 K [0 n 先经过几个基本参数的检查，然后调用$this->is_allow()来进行安全检查 include/upload.class.php:72： $ v8 _5 J! d7 c

<?php 2 v" ^! M# _/ `* \7 W5 I

\4 A3 U& p/ C2 K+ w

2 I: a: z; d$ @& @0 V! ]- o- \     function is_allow() {

4 Z4 m. h g! [0 k

]1 ^1 _, J. }9 m/ I# D# y         if(!$this->fileformat) return false;

- L n7 J9 D: o4 @. m         if(!preg_match("/^(".$this->fileformat.")$/i", $this->ext)) return false;

. Z! T( d3 m+ @" j" ^         if(preg_match("/^(php|phtml|php3|php4|jsp|exe|dll|cer|shtml|shtm|asp|asa|aspx|asax|ashx|cgi|fcgi|pl)$/i", $this->ext)) return false;

        return true; ' j% Y7 M7 B+ h& C) D

    }

$ @- p; X( F0 E/ q( b! ~- t

可以看到这里仅仅对$this->ext进行了检查，如前此时$this->ext为jpg，检查通过。

2 R+ O0 u! h, z! w! b 接着会进行真正的保存。通过$this->set_savepath($this->savepath); $this->set_savename($this->savename);设置了$this->saveto，然后通过move_uploaded_file($this->file, DT_ROOT.'/'.$this->saveto)将file保存到$this->saveto ，注意此时的savepath、savename、saveto均以php为后缀，而$this->file实际指的是第二个jpg文件。

o$ q7 C+ f6 L7 u! p7 J" J, f7 M

漏洞利用 , l$ Z# T, U' p& R4 q

) ~- K5 P; t8 x1 ~

$ s3 x8 C) R! K0 X" I, | 综上，上传两个文件，其中第一个文件以php为结尾如1.php，用于设置后缀名为php；第二个文件为1.jpg，jpg用于绕过检测，其内容为php一句话木马(图片马)。 , T$ |, |0 U0 u! n: T: L5 L, _

  K) R$ Z' b, ^4 F" s/ G

: I: z* A8 h' u: u 然后访问http://127.0.0.1/file/temp/avatar1.php 即可。其中1是自己的_userid

$ J/ y% `5 P3 | P' ~

i( Y$ l' j7 }; G+ G/ ]0 D 不过实际利用上会有一定的限制。 ' e4 \; ]' h- G3 L4 G1 B! R

) Q! g% `' u: }5 y

4 T- n) N! O% S4 l 第一点是destoon使用了伪静态规则，限制了file目录下php文件的执行。 , o9 }8 v& W& s7 a& P- O7 z

% m1 L n3 h+ C. Y% a" l   9 g/ N+ J. x/ x

: v3 [& @. ~& |1 n( o 第二点是avatar.inc.php中在$upload->save()后，会再次对文件进行检查，然后重命名为xx.jpg： , G( u0 [ z3 N& g

J) O% f8 z7 K, w G! i% L

$ C$ S6 S( o. I4 q: t: u 省略...$img = array();$img[1] = $dir.'.jpg';$img[2] = $dir.'x48.jpg';$img[3] = $dir.'x20.jpg';$md5 = md5($_username);$dir = DT_ROOT.'/file/avatar/'.substr($md5, 0, 2).'/'.substr($md5, 2, 2).'/_'.$_username;$img[4] = $dir.'.jpg';$img[5] = $dir.'x48.jpg';$img[6] = $dir.'x20.jpg';file_copy($file, $img[1]);file_copy($file, $img[4]);省略... ( X, _! }3 d f- s" l

/ h9 T' {- s8 N7 n

9 ^4 P. w$ }. P7 i* Q0 q% \- @ 因此要利用成功就需要条件竞争了。

8 r; H* ~' h8 ]8 E) w0 Q8 a 补丁分析 ( {/ k. X: K7 {1 X' b: ^( k

3 t0 h: Z& P2 a/ [+ `

  # w: }4 K9 l" A/ a; S* k% M/ |

在upload的一开始，就进行一次后缀名的检查。其中is_image如下： 5 W1 Z& z( g% L$ }4 b, I

; M# _1 v4 S1 {2 q function is_image($file) {    return preg_match("/^(jpg|jpeg|gif|png|bmp)$/i", file_ext($file));} ! C+ C; b3 k# a- L0 {

0 m0 K' P+ r* W C- `; _

/ J. N9 s O5 I. o0 O+ t/ n) J$ t  

: `! n/ Y% g. _, l' u3 `! V- g 在__construct()的foreach中使用了break，获取了第一个文件后就跳出循环。 : Y5 ^/ T9 D! e4 y- ^9 ?4 W$ [

0 U$ D7 S, e2 ?1 e. y( D! l0 X% i8 _ D 在is_allow()中增加对$this->savename的二次检查。

最后 3 H7 H% j% s& I3 W9 _ Q/ S& h

嘛，祝各位大师傅中秋快乐！

- X3 L9 U" A+ @ p7 S0 e: V; r5 u

 

7 S) ]. C; q# `( b