Destoon cms前台getwebshell

admin

& E2 _5 `9 B v6 k+ v, {& Y

4 g2 I; i% F' x$ M. Z0 o$ ? 前言

2018年9月21日，Destoon官方发布安全更新，修复了由用户“索马里的海贼”反馈的一个漏洞。

 

漏洞分析

0 h/ U- F: i$ o% N0 U& }- T 根据更新消息可知漏洞发生在头像上传处。Destoon中处理头像上传的是 module/member/avatar.inc.php 文件。在会员中心处上传头像时抓包，部分内容如下：

( _1 Q; K4 o# a: W- P( J2 E2 L

9 V7 R) H+ k% {" X: A6 y8 Y  

对应着avatar.inc.php代码如下：

" [" T8 K1 h, ?5 D% ? D <?php defined('IN_DESTOON') or exit('Access Denied');login();require DT_ROOT.'/module/'.$module.'/common.inc.php';require DT_ROOT.'/include/post.func.php';$avatar = useravatar($_userid, 'large', 0, 2);switch($action) {

    case 'upload': K$ y1 |$ d5 w

m! X. H. M0 Z6 M         if(!$_FILES['file']['size']) { 5 ]0 J* d3 \& F# z; e. g: J) F

            if($DT_PC) dheader('?action=html&reload='.$DT_TIME); " {* }; A j1 M3 v2 U

            exit('{"error":1,"message":"Error FILE"}'); ! C& z- @9 a5 P6 K( w E

        } 5 B2 D. t2 S2 v

& i" m8 S/ H9 b

6 { @0 @/ M8 b9 b5 Q$ s3 C/ ?         require DT_ROOT.'/include/upload.class.php';

! _4 |/ G- m$ S E( i3 ?/ C

  4 ]0 Y( ]% v+ x( E

- ~1 y' R$ @2 y* _; i" J( m

        $ext = file_ext($_FILES['file']['name']);

        $name = 'avatar'.$_userid.'.'.$ext;

        $file = DT_ROOT.'/file/temp/'.$name; 3 X8 f4 Q( d( u; T$ L: t) F

! N0 d6 K+ T, P% M3 O D. `+ W   ! ]0 x$ K7 R. o6 ~/ r

        if(is_file($file)) file_del($file);

        $upload = new upload($_FILES, 'file/temp/', $name, 'jpg|jpeg|gif|png'); 7 I7 m$ G, B% g& I! {# t

9 ]7 q/ c6 ?5 h5 p3 V9 y6 G5 i  

        $upload->adduserid = false; & ^& V% I7 b- g) M; R5 {: X

5 d& g- k( F! W& y4 E) t

  ' M. g& ~3 R, `- n2 v

! b0 s" {. y" |0 K

        if($upload->save()) {

% p6 W8 F8 F: b; v ?             ...

        } else { ( Q! Z( I+ u0 G6 l0 u$ E

6 G- O; v" f: v# L- J! p             ...

1 \$ t* I* k H7 M+ f, \- }

# s. s$ l2 R: Z         } % e+ P1 D& U( \4 k7 q2 \: j- }

    break; 3 H" W/ X6 q& W. e8 n& @: v

! @- a- ?2 h# g) f I1 K2 |. \

) I7 F L' o+ M1 Q7 h 这里通过$_FILES['file']依次获取了上传文件扩展名$ext、保存临时文件名$name、保存临时文件完整路径$file变量。之后通过new upload();创立一个upload对象，等到$upload->save()时再将文件真正写入。 2 B6 v' Y r. n. F

( y C d4 P9 u* M3 h5 U( L3 l upload对象构造函数如下，include/upload.class.php:25：

2 x6 f# _2 ~4 b M3 C- Q

<?phpclass upload {

% {, p+ R: T3 H

% O+ ^3 i* g% i% I5 B) m4 r     function __construct($_file, $savepath, $savename = '', $fileformat = '') { $ _, d. r8 I" }

, Q0 O8 U0 ] _0 |0 y! k         global $DT, $_userid; . W6 Z+ a- s5 p6 V7 q

2 U8 V& C* U2 S7 M. L, N

        foreach($_file as $file) {

+ `: e# n V$ L& d$ Y

8 k' ^! S+ i; a/ a# P+ B; `             $this->file = $file['tmp_name']; - ]# [4 k4 u: T- y

            $this->file_name = $file['name']; & h0 `1 J# H' B" M- t# E% o5 k

0 [3 ~/ E9 G# Q             $this->file_size = $file['size']; - E% D h% i7 ?9 I/ e! R; | F

5 L4 r( _& j+ R, ]" w             $this->file_type = $file['type']; # P% ^ a' L. d5 g: \: d, o$ E% F

" l8 U& Z$ b- Y$ a) V+ M; [

# G1 P& o$ a+ c7 l, p6 w             $this->file_error = $file['error'];

  0 u+ I' @+ V5 [# a' V6 ~

/ z6 D# D7 L- K

        }

% |: t9 q r" h- H$ w0 Z$ P. f( I; V         $this->userid = $_userid;

3 L2 ~, r3 y6 [

        $this->ext = file_ext($this->file_name); & a6 a8 p( P i4 j$ \

        $this->fileformat = $fileformat ? $fileformat : $DT['uploadtype'];

* ^8 A& y. k# l0 b5 M: @         $this->maxsize = $DT['uploadsize'] ? $DT['uploadsize']*1024 : 2048*1024; 3 A4 r' M0 V4 M; j# k; _ D

, N( K C# F2 ?1 T) i6 j

$ L) e3 j8 d! A/ ^- m/ Q         $this->savepath = $savepath; ! P$ I4 n+ Q. K) _

        $this->savename = $savename;

3 c. m: N, _4 Y m     }} 2 P% a" i. k# F4 D% i/ u; U0 t1 Q" R

$ N9 |- m5 ?( [# C( j- X3 V5 [; ` C+ q 这里通过foreach($_file as $file)来遍历初始化各项参数。而savepath、savename则是通过__construct($_file, $savepath, $savename = '', $fileformat = '')直接传入参数指定。 8 d8 u5 Z# G' w/ p1 C1 H5 {

) G# f/ q% I( E8 ]0 m

因此考虑上传了两个文件，第一个文件名是1.php，第二个文件是1.jpg，只要构造合理的表单上传（参考：https://www.cnblogs.com/DeanChopper/p/4673577.html），则在avatar.inc.php中

0 P, B0 R* g: [3 n M3 |* \9 v Z3 ]( b

m' t! K" N7 i# i: u $ext = file_ext($_FILES['file']['name']); // `$ext`即为`php` $name = 'avatar'.$_userid.'.'.$ext; // $name 为 'avatar'.$_userid.'.'php'$file = DT_ROOT.'/file/temp/'.$name; // $file 即为 xx/xx/xx/xx.php

) o6 ^/ z+ c, b' ~

而在upload类中，由于多个文件上传，$this->file、$this->file_name、$this->file_type将foreach在第二次循环中被置为jpg文件。测试如下：

6 I Y/ @3 _6 f: G

 

3 Y3 ^. T0 f. N' {3 V 回到avatar.inc.php，当进行文件保存时调用$upload->save()，include/upload.class.php:50:

<?phpclass upload {

' ]7 x. J# Q) X" `* e% v

: @, q! y$ A5 W3 C     function save() { ; V! `& N8 W. X* v4 r

1 e; Y1 b4 {5 u! ^7 y# r" s" M) I         include load('include.lang');

' K: W& L9 d9 Z: u5 F! s

3 b$ O) |( A9 G$ g         if($this->file_error) return $this->_('Error(21)'.$L['upload_failed'].' ('.$L['upload_error_'.$this->file_error].')'); - \; V, ~/ y' L

  0 S1 \" S7 c* P* R# y9 J( ?" h& _

! m2 ~5 l H# V; Z( S# |         if($this->maxsize > 0 && $this->file_size > $this->maxsize) return $this->_('Error(22)'.$L['upload_size_limit'].' ('.intval($this->maxsize/1024).'Kb)'); 1 r: i$ m5 B3 S5 D

1 a5 U! h7 X \0 y1 b& F& K2 v

5 b/ l. H9 T6 P" H" s   & X1 H" o% o3 ~+ G( u

6 [/ I/ R* i" X9 Q% P3 |% @/ p

0 t, r- g# \7 ]* ?- e4 L         if(!$this->is_allow()) return $this->_('Error(23)'.$L['upload_not_allow']); - V' x- d7 Q' a

! ^, b5 S% q& U L4 Y$ Z2 P/ i" @7 i( d   3 X. U( Z6 \7 S5 M

. h8 L! h: f+ g2 B: J- a' L

        $this->set_savepath($this->savepath);

7 ~: v0 C' O% d# [$ u+ j

/ A: u6 @! ~# H+ q4 N% V- ^8 d( S         $this->set_savename($this->savename);

 

0 W% X8 j8 _2 G" b) d! L0 R/ @         if(!is_writable(DT_ROOT.'/'.$this->savepath)) return $this->_('Error(24)'.$L['upload_unwritable']); 9 b. K9 u! d1 i3 W8 ?

        if(!is_uploaded_file($this->file)) return $this->_('Error(25)'.$L['upload_failed']);

        if(!move_uploaded_file($this->file, DT_ROOT.'/'.$this->saveto)) return $this->_('Error(26)'.$L['upload_failed']);

" k0 Y% T! Y7 j* w7 B. @; P  

        $this->image = $this->is_image(); ; f) m) e) w. u4 R1 c

- j$ Y( o; o8 Y

3 i* H7 F; S8 m L, {2 f* M         if(DT_CHMOD) @chmod(DT_ROOT.'/'.$this->saveto, DT_CHMOD);

( x( S( T( F; V, u

7 X2 l0 f& }( S, \2 Y A$ x         return true;

    }} ( | \& c5 P- P/ H# t! k

! C6 P$ f8 A+ _1 j2 w0 S2 _1 H

" `/ j' D' E: C3 V. K 先经过几个基本参数的检查，然后调用$this->is_allow()来进行安全检查 include/upload.class.php:72： 5 l6 w' z2 b/ e0 j! [* B

<?php , J N5 g% E- i, V7 h, v

$ r% _3 c7 Z9 ?

    function is_allow() {

        if(!$this->fileformat) return false;

- L* s& J. O7 \; _, w$ m( W

        if(!preg_match("/^(".$this->fileformat.")$/i", $this->ext)) return false;

% I8 x$ ? D1 `! g         if(preg_match("/^(php|phtml|php3|php4|jsp|exe|dll|cer|shtml|shtm|asp|asa|aspx|asax|ashx|cgi|fcgi|pl)$/i", $this->ext)) return false;

0 B7 s% P( S" d& H         return true; 4 w9 D* Z3 C5 x8 i( c( j

4 W: h" N4 u, B: h5 i7 m; c, A. i+ c/ d

0 G3 l6 t, ?3 d: v     }

: e! L. V2 E" |4 H7 s 可以看到这里仅仅对$this->ext进行了检查，如前此时$this->ext为jpg，检查通过。 3 ~0 T. x1 @( \- W+ S8 \) |. M0 M

# }+ s( Y" l) D7 ? 接着会进行真正的保存。通过$this->set_savepath($this->savepath); $this->set_savename($this->savename);设置了$this->saveto，然后通过move_uploaded_file($this->file, DT_ROOT.'/'.$this->saveto)将file保存到$this->saveto ，注意此时的savepath、savename、saveto均以php为后缀，而$this->file实际指的是第二个jpg文件。 ) X) i0 H4 n6 x* o1 o* M) \

6 G/ n9 d$ X# ]* q4 j- r) d

漏洞利用

% U6 f0 f5 R! ]& Y( ]/ j

综上，上传两个文件，其中第一个文件以php为结尾如1.php，用于设置后缀名为php；第二个文件为1.jpg，jpg用于绕过检测，其内容为php一句话木马(图片马)。

& g k& j! G) [

 

9 b5 W u, P, Y( C, }1 B 然后访问http://127.0.0.1/file/temp/avatar1.php 即可。其中1是自己的_userid

不过实际利用上会有一定的限制。

/ d* M* H3 f' f9 m5 y7 {- B

2 V' p4 o" n; O' ]/ D7 ?5 T/ G# D 第一点是destoon使用了伪静态规则，限制了file目录下php文件的执行。 : `# d: C* j, e L: v7 [, ?* A

 

5 o# ^' X6 s' d' o% Q

$ Z: ~' c; F7 I0 F Y- ?1 R 第二点是avatar.inc.php中在$upload->save()后，会再次对文件进行检查，然后重命名为xx.jpg：

0 F) ~8 m' [, Z( C7 b9 e g

~ N4 E6 U5 j5 A, A1 c 省略...$img = array();$img[1] = $dir.'.jpg';$img[2] = $dir.'x48.jpg';$img[3] = $dir.'x20.jpg';$md5 = md5($_username);$dir = DT_ROOT.'/file/avatar/'.substr($md5, 0, 2).'/'.substr($md5, 2, 2).'/_'.$_username;$img[4] = $dir.'.jpg';$img[5] = $dir.'x48.jpg';$img[6] = $dir.'x20.jpg';file_copy($file, $img[1]);file_copy($file, $img[4]);省略...

) s8 {, \! g/ ^0 _; ? 因此要利用成功就需要条件竞争了。 8 n/ L y, `0 ]. ?, C

8 X. @, f+ v( |+ z, T9 c+ K

: F* X4 |$ q3 [& j& L 补丁分析 6 f+ }3 T6 z5 @* U* l

 

1 h# g/ i% r6 N* e/ f$ j

% e8 C6 v- V( k4 u" A) E0 V 在upload的一开始，就进行一次后缀名的检查。其中is_image如下： 6 B! A+ K' O0 ?9 b! [0 q' x- z7 r

0 {; F8 \2 u% n

function is_image($file) {    return preg_match("/^(jpg|jpeg|gif|png|bmp)$/i", file_ext($file));}

1 n$ b* v1 w; s$ U: N

 

3 V) J# u' v* U A3 F) v I

. K h# ?: a9 |; `! I" S0 W 在__construct()的foreach中使用了break，获取了第一个文件后就跳出循环。 / O# m8 B4 g/ a5 v1 G0 N

) u% s" t8 R* U" d+ j* L

在is_allow()中增加对$this->savename的二次检查。 . J5 E0 D1 c7 b

* ?7 f+ B7 d) f+ X% ^

$ D* \ T4 I5 U' Z- F, _ 最后

9 R: B) I4 K- P5 h( d H( `

0 G! M* D2 x/ F5 o 嘛，祝各位大师傅中秋快乐！

! l) ?' H, K+ Y" k; U0 @. n6 [   , a$ q g5 K! P# U$ H

O* X% v# B1 b) `