Destoon cms前台getwebshell

admin

9 a# a% F1 p! ~9 r

前言

1 ^( K+ n6 A; c7 Q! v: \3 O

- b$ P9 q* J/ `/ h! s 2018年9月21日，Destoon官方发布安全更新，修复了由用户“索马里的海贼”反馈的一个漏洞。

/ w- F- s8 D: @/ I" `( H, A- \+ Q

( N- c% F- j4 \. B$ ` W, A( @  

1 F9 e0 u; W: x" G 漏洞分析

3 S6 `" Y4 A9 ^& w w

, g* u' Q! \3 _6 |1 h# o; [3 \ 根据更新消息可知漏洞发生在头像上传处。Destoon中处理头像上传的是 module/member/avatar.inc.php 文件。在会员中心处上传头像时抓包，部分内容如下： : H6 W, y5 ]3 T" J. s

0 [! J6 L) a2 ]& _4 a  

7 Y: T1 ~9 Y" D6 t5 [( k4 `

对应着avatar.inc.php代码如下： 4 ^% M$ d" S4 T* G5 M

: ]: P8 m3 D5 f) w4 O# T# c <?php defined('IN_DESTOON') or exit('Access Denied');login();require DT_ROOT.'/module/'.$module.'/common.inc.php';require DT_ROOT.'/include/post.func.php';$avatar = useravatar($_userid, 'large', 0, 2);switch($action) {

; S* E, E/ }& I" C

: J$ _' J) z; H$ `6 Z" R( |     case 'upload': 1 A! A: B% [- s; H2 @" G! g

& l) w2 s+ [- e2 g2 {         if(!$_FILES['file']['size']) { 9 g9 e/ U @' l% ?, T* Z# o

/ w1 a0 g' Y8 e5 ^' v! U

% j* u, ]) a! L* c9 x$ r; L             if($DT_PC) dheader('?action=html&reload='.$DT_TIME); # G) H5 X& V7 \$ u6 D: ~+ s* E/ P+ ?

; w# F: Q/ g% }* e; t5 {: z             exit('{"error":1,"message":"Error FILE"}'); * e+ D* v' w4 ~

( R# e$ [; B% }4 `: {- Z         }

        require DT_ROOT.'/include/upload.class.php'; : b$ E( K) Z9 E& t& ^; }, Z: p* ~7 b4 h

; o" o% M5 O7 t4 ~5 H+ ~/ f

" w4 p( y) F# q  

" @* m' G1 M+ G6 P* }: i

9 f( e* W" E( v3 q         $ext = file_ext($_FILES['file']['name']);

$ X# U8 V' E8 K1 B, v

        $name = 'avatar'.$_userid.'.'.$ext; 3 @: s% H# H7 M

        $file = DT_ROOT.'/file/temp/'.$name; / q0 y1 s0 E" s1 a

3 R4 k7 Y1 }: N5 W

9 @* d! Q K& G   7 B9 h/ W' a! j6 s& c

% g# j* p1 z0 {6 N7 Z

# b8 L2 ^0 |6 A         if(is_file($file)) file_del($file); 0 n: I" I& o4 `0 y3 f$ H

        $upload = new upload($_FILES, 'file/temp/', $name, 'jpg|jpeg|gif|png');

2 q/ h$ }' v" ?   + B- x) E& q! j. ^9 c

8 m' N6 Q6 S) d/ _4 G( Y% n% e         $upload->adduserid = false; $ f& [. a$ m+ U4 }# ^, K( g! j. O, @

& ~2 e N; ?# X" R8 q5 i: \4 d: B  

3 ^- O' [# X2 x6 j# R% ^

        if($upload->save()) { - [! t7 W0 X* l/ Q6 v# s

* L2 K% ?( X8 j7 K

5 E4 x! p/ c+ ]) W- I, ~! j% Y             ... 2 z6 l% E$ Y1 V% e% v

, V7 |$ h& K1 Y0 J' {

        } else { 2 F+ I& F8 p% I' W8 i

; f9 B9 z3 h+ d) M3 V2 y

; R( \( W* W5 D! J( S0 l( \             ... 4 r# _9 ^2 `2 o. F

: S# Q; T4 A0 H8 `7 R         }

3 T0 r7 \1 e* a7 y" w- p

0 j4 Y- a8 w" R* Q3 _     break; 2 \ J7 A1 Y' K: a5 A! p l1 X

) D: T. s# a) j& S! d! F 这里通过$_FILES['file']依次获取了上传文件扩展名$ext、保存临时文件名$name、保存临时文件完整路径$file变量。之后通过new upload();创立一个upload对象，等到$upload->save()时再将文件真正写入。

( {- X& K+ H+ P- B+ Q9 V

: v' g5 p- y# g) f upload对象构造函数如下，include/upload.class.php:25：

D1 A7 m, o+ U

<?phpclass upload {

7 b4 b. ?7 a# L a$ d9 r' x2 _* m/ V& [     function __construct($_file, $savepath, $savename = '', $fileformat = '') { % X$ Y8 k4 [9 h7 U* ^3 r! ]

4 J1 r& v" p- M- b6 I" l1 Y

( S8 d( x6 I y- h( J' t+ R         global $DT, $_userid; 0 ]) p5 X8 n) q% t5 g0 d

9 M) {% v- Z1 D8 v" D: {; f+ @% S         foreach($_file as $file) {

# L+ K1 z+ C* b Y0 `: Z

& v. n3 i6 O: P* Z             $this->file = $file['tmp_name'];

[8 o/ k6 T4 k" y1 k5 z             $this->file_name = $file['name']; ( ~3 C" ^. A, Y \

8 n7 D/ U3 ~# L2 n+ m5 w

            $this->file_size = $file['size'];

& E% z6 A* g+ z             $this->file_type = $file['type'];

& A, c$ O/ I, l, Q! K2 M$ f

& i$ b3 F* `) @1 |9 a             $this->file_error = $file['error']; 8 @: ?5 z1 [' I: I* ?1 p5 J; y

" R; B! o- g! W# k7 M3 S: |   + U* }3 U% V2 B8 X |& d

$ L9 {5 |2 u+ a( G, }. G2 ?2 ]

        }

' k: U1 i; U" c0 G4 w/ f* e- a

        $this->userid = $_userid;

        $this->ext = file_ext($this->file_name); # D6 O! B# I- U ]6 H

        $this->fileformat = $fileformat ? $fileformat : $DT['uploadtype'];

5 q, G' k \3 L0 S; L$ [3 x         $this->maxsize = $DT['uploadsize'] ? $DT['uploadsize']*1024 : 2048*1024;

. ^3 G; L& J2 h# G1 Q6 ^0 d4 f

        $this->savepath = $savepath; 1 \3 A8 B) v# o* r

5 {$ q: x6 u# x5 d! f6 j         $this->savename = $savename;

    }} 7 F3 V- \( H( A/ I

' |: e% T' e: {' P4 b# K

这里通过foreach($_file as $file)来遍历初始化各项参数。而savepath、savename则是通过__construct($_file, $savepath, $savename = '', $fileformat = '')直接传入参数指定。

& t! @* q# R2 g, X; M8 i- n

因此考虑上传了两个文件，第一个文件名是1.php，第二个文件是1.jpg，只要构造合理的表单上传（参考：https://www.cnblogs.com/DeanChopper/p/4673577.html），则在avatar.inc.php中 . U1 a; I$ F8 n( u9 r3 T. y

$ext = file_ext($_FILES['file']['name']); // `$ext`即为`php` $name = 'avatar'.$_userid.'.'.$ext; // $name 为 'avatar'.$_userid.'.'php'$file = DT_ROOT.'/file/temp/'.$name; // $file 即为 xx/xx/xx/xx.php

% L: d) r$ Z- y! B4 u

3 Y0 P) ~$ z2 J 而在upload类中，由于多个文件上传，$this->file、$this->file_name、$this->file_type将foreach在第二次循环中被置为jpg文件。测试如下：

; G t7 }+ }, }& h/ y/ D

 

8 S- ~3 U6 L; j( a* t0 W

回到avatar.inc.php，当进行文件保存时调用$upload->save()，include/upload.class.php:50:

* K$ a/ \, N; z1 D1 A

<?phpclass upload {

- U0 b0 ?9 U6 e8 P$ @0 y4 ^% \

6 S6 L2 n+ ^& ~" {7 I     function save() {

        include load('include.lang'); , z, |3 H( c; \- T, N

: f0 d* R- T2 \2 v1 \& F         if($this->file_error) return $this->_('Error(21)'.$L['upload_failed'].' ('.$L['upload_error_'.$this->file_error].')');

3 [( g2 l2 ]+ h3 P6 ]( X

& C. m+ V2 m4 o5 F$ X   + n* z; ^- c m' X5 d

. [: o9 \; Y: l/ `

        if($this->maxsize > 0 && $this->file_size > $this->maxsize) return $this->_('Error(22)'.$L['upload_size_limit'].' ('.intval($this->maxsize/1024).'Kb)'); 3 |8 C% u, @( ^" `

 

        if(!$this->is_allow()) return $this->_('Error(23)'.$L['upload_not_allow']);

% X& l6 k+ {/ H n: w+ g" j

 

        $this->set_savepath($this->savepath); * ?; j' s$ B0 u& ?. B

        $this->set_savename($this->savename); / u' s$ Z1 z& {; K

! n8 g" X9 T& u8 W" l! ?

+ Y- \$ }5 B+ f5 H& r  

+ E k5 W& [$ {7 r

3 H- C' w' Z" O$ V$ T         if(!is_writable(DT_ROOT.'/'.$this->savepath)) return $this->_('Error(24)'.$L['upload_unwritable']);

. L3 S% r* b" E* v( E- h3 x         if(!is_uploaded_file($this->file)) return $this->_('Error(25)'.$L['upload_failed']);

        if(!move_uploaded_file($this->file, DT_ROOT.'/'.$this->saveto)) return $this->_('Error(26)'.$L['upload_failed']); $ }7 i! S' @) D# s

  , G! m& ~2 ^! S9 k; Q

        $this->image = $this->is_image(); 5 L% f U, [5 s' O6 A- |4 [* N

9 ?, c9 \' q( {. p f2 K

        if(DT_CHMOD) @chmod(DT_ROOT.'/'.$this->saveto, DT_CHMOD); 8 o9 I: f' a! Z* K0 g& ^' b

4 v. q( a6 ]% T7 L* n% Q         return true;

    }} $ a/ q, |! x# ]8 Q

6 T# ]% |$ G5 }9 f) x ]

先经过几个基本参数的检查，然后调用$this->is_allow()来进行安全检查 include/upload.class.php:72： 5 n' B" O4 b- ]; J5 [

. i" h: U/ @6 u7 o/ p1 U- q' n <?php 5 h( |7 x( a$ T: A4 [

8 j: D4 y+ x, _2 q- x

    function is_allow() {

        if(!$this->fileformat) return false;

: V' R8 T1 ^1 j) s* ~" _

4 @4 T9 j& S. c5 D         if(!preg_match("/^(".$this->fileformat.")$/i", $this->ext)) return false;

6 P/ ]0 T! e3 v0 ?! p

: N: k& S2 n( V. a7 a         if(preg_match("/^(php|phtml|php3|php4|jsp|exe|dll|cer|shtml|shtm|asp|asa|aspx|asax|ashx|cgi|fcgi|pl)$/i", $this->ext)) return false; 8 o6 z- i: A& R% @& L8 T( Z& g2 k2 P

; w- J- S9 c4 e5 m# g0 N, X, n

        return true;

! r' C6 ]* x" \ d     } 7 Z+ o& \" o% t- \. B

可以看到这里仅仅对$this->ext进行了检查，如前此时$this->ext为jpg，检查通过。

8 |9 R& ?; K5 Y8 K% i9 l- l! \" ? 接着会进行真正的保存。通过$this->set_savepath($this->savepath); $this->set_savename($this->savename);设置了$this->saveto，然后通过move_uploaded_file($this->file, DT_ROOT.'/'.$this->saveto)将file保存到$this->saveto ，注意此时的savepath、savename、saveto均以php为后缀，而$this->file实际指的是第二个jpg文件。

& l" z) }1 r- C E: n

- c( P2 \; A) P! g1 w 漏洞利用 4 k4 y! P5 S& z, x; `6 p/ D

: Z7 f3 z, `4 Q+ {0 K" {$ N4 @3 S% G

$ t5 C8 T! x+ O3 q$ R, C# H 综上，上传两个文件，其中第一个文件以php为结尾如1.php，用于设置后缀名为php；第二个文件为1.jpg，jpg用于绕过检测，其内容为php一句话木马(图片马)。

; m4 i( f) [, v. e

 

: k, o6 C; P0 m) } a5 P 然后访问http://127.0.0.1/file/temp/avatar1.php 即可。其中1是自己的_userid ) m# O; T6 F0 v: D$ D/ ]

" i' y0 K$ j2 P, `' j/ x 不过实际利用上会有一定的限制。

, M9 q! d# M( H 第一点是destoon使用了伪静态规则，限制了file目录下php文件的执行。 / a) H4 n, S+ T8 ~' z/ i$ o

- {8 F! R/ F* B3 q. L   ( x& J2 g; C6 F* e5 U6 e; ~

/ i% @5 c ^: f) G6 Q, F, _, s

" P/ `' M) A/ z4 V3 @, r) {7 o i 第二点是avatar.inc.php中在$upload->save()后，会再次对文件进行检查，然后重命名为xx.jpg： 7 n/ m3 n! J6 B- b0 P; T @4 h7 X

省略...$img = array();$img[1] = $dir.'.jpg';$img[2] = $dir.'x48.jpg';$img[3] = $dir.'x20.jpg';$md5 = md5($_username);$dir = DT_ROOT.'/file/avatar/'.substr($md5, 0, 2).'/'.substr($md5, 2, 2).'/_'.$_username;$img[4] = $dir.'.jpg';$img[5] = $dir.'x48.jpg';$img[6] = $dir.'x20.jpg';file_copy($file, $img[1]);file_copy($file, $img[4]);省略... 7 P x W% o9 x( n1 e6 e4 Q

因此要利用成功就需要条件竞争了。

2 ?% y8 W3 G1 L6 ~4 M, l

补丁分析 . W- ], E; d5 J, b5 p

8 C6 n- p0 h6 R0 r

 

0 S' m' z0 @9 @+ Z9 p' W9 \- l V 在upload的一开始，就进行一次后缀名的检查。其中is_image如下： ( u: B. Y9 Z2 F

) S. `4 w/ e/ Z4 V ]

" R& i2 J( h( o function is_image($file) {    return preg_match("/^(jpg|jpeg|gif|png|bmp)$/i", file_ext($file));}

 

5 q6 E, l% m* X( | 在__construct()的foreach中使用了break，获取了第一个文件后就跳出循环。

5 @, f6 X" ]8 d1 }# T

1 t* h& V4 ~ s* p( u( \ 在is_allow()中增加对$this->savename的二次检查。 Y! x1 B) z. a( |

最后

嘛，祝各位大师傅中秋快乐！ ( L# S, ^* F; w* Q( d% d

# g0 M% p/ r6 K9 h/ e

/ a/ r2 u8 e* k! G1 y( F9 Z, N3 p$ _   . Z9 ~3 Q, z7 M