Destoon cms前台getwebshell

admin

前言

2018年9月21日，Destoon官方发布安全更新，修复了由用户“索马里的海贼”反馈的一个漏洞。

4 c5 i' |9 n. B. j$ g9 X

& V- J: e6 i/ W9 x2 H   - ^7 ]/ _8 N2 [! u

漏洞分析 6 {, W+ N$ p- O& M. p4 E

根据更新消息可知漏洞发生在头像上传处。Destoon中处理头像上传的是 module/member/avatar.inc.php 文件。在会员中心处上传头像时抓包，部分内容如下：

( v. T- d- d- w: ]: U I" l: y& f! P! T

# B+ t- i' Z* b6 C! |+ c- t   2 o7 B4 K7 c4 P8 }$ [# L

对应着avatar.inc.php代码如下： 4 G/ ^1 s6 u" S, e+ w8 P+ }

- v' c: g3 `& }2 x% {" R' ?- W, g

<?php defined('IN_DESTOON') or exit('Access Denied');login();require DT_ROOT.'/module/'.$module.'/common.inc.php';require DT_ROOT.'/include/post.func.php';$avatar = useravatar($_userid, 'large', 0, 2);switch($action) { H$ `. u0 S7 }8 w. _% u4 Z, X- G

# l L, }% F/ G# b1 {- V' x P

    case 'upload':

* o, a& I8 M7 y. `6 A) l; l2 M

        if(!$_FILES['file']['size']) { 9 S; i( B4 R* T* G% ^9 r- R& V9 j+ ~

* l1 H) c) m2 T% n% l' A8 h$ H* ]             if($DT_PC) dheader('?action=html&reload='.$DT_TIME);

) l1 Z( n g o0 T4 \/ E

            exit('{"error":1,"message":"Error FILE"}'); " w# e* y; k; a

) G) S' b: \8 x

        } - R8 S1 W+ i0 B1 r

/ y! Y8 @4 J' H F! r" j8 Z# G2 y4 ~/ j

        require DT_ROOT.'/include/upload.class.php'; $ e1 D6 L4 V% O G4 ^' o

p+ k$ l# R9 r

6 R R! N5 |/ d) L8 t   : I% p, l8 [2 n

7 V) X- [# ~$ z; m2 G0 i4 _7 ]) I# F. h         $ext = file_ext($_FILES['file']['name']); & c* x" c0 j) v0 o1 A" G- s

( h4 A* U& p d; ]; s7 c

        $name = 'avatar'.$_userid.'.'.$ext;

- s6 |7 p4 F5 A( S         $file = DT_ROOT.'/file/temp/'.$name; . b1 @6 u8 P0 H+ P: S" U6 h2 w; j

+ X1 u. X1 _8 z7 ^4 a+ M( J

* i. B" N" C1 n+ w7 ^% |0 R T" m  

2 G- C: m+ ^( k, l4 i) y. \         if(is_file($file)) file_del($file);

        $upload = new upload($_FILES, 'file/temp/', $name, 'jpg|jpeg|gif|png');

3 m. H, s& A' @# d- z R: o

% } u& q& G* c' \8 q   i: F1 G3 @7 D

        $upload->adduserid = false; : _9 d8 y) ?! V+ Y1 @

  6 H3 r3 @7 ^3 V* g6 {4 Q

, o6 T# W8 W+ w" H" i         if($upload->save()) {

5 `2 j4 E; T# V

            ...

& h4 |& F" g- l7 {; B h% P         } else {

            ... + D; j* q6 Y( G0 e) O

8 V9 [, Y! B# G+ Z         }

& i1 w* `0 y/ Y

* T3 R0 B3 G2 O6 ~$ c     break;

4 w+ l3 p8 y9 k6 c2 y* Q" R& a 这里通过$_FILES['file']依次获取了上传文件扩展名$ext、保存临时文件名$name、保存临时文件完整路径$file变量。之后通过new upload();创立一个upload对象，等到$upload->save()时再将文件真正写入。

upload对象构造函数如下，include/upload.class.php:25： , t; S) U* W$ X4 V2 l( @+ R

<?phpclass upload {

) ?: U4 ]6 L8 C+ }     function __construct($_file, $savepath, $savename = '', $fileformat = '') {

" @. Q! R% Y% P o7 ^ I4 @         global $DT, $_userid;

5 y6 I+ {. K- `8 y. I1 T) l4 u' }, z

        foreach($_file as $file) {

            $this->file = $file['tmp_name']; % G H# A# b `, k6 p

7 w& s% K$ d6 c

; ^. m. B, v1 \1 Y9 T N             $this->file_name = $file['name']; , O' `7 E: ?$ p' `

9 B+ Z$ C- b6 V7 X/ g9 @

            $this->file_size = $file['size'];

. ~ ]0 ^8 U: }! ^1 u6 I' \, e" R

2 \' X6 J0 J- H! q6 `/ J; @7 e: ?             $this->file_type = $file['type']; - U2 x4 l y H! L4 y! `$ {

6 b" j" ^3 ?8 m5 \             $this->file_error = $file['error']; 3 c) n! g: y3 C9 Q0 L

- j2 F1 ?$ l0 k- h2 \5 H

+ a0 F7 N8 `0 {: q. q# ~5 d  

0 x2 E5 V! p3 Q: @2 }8 O

        }

        $this->userid = $_userid;

8 x5 B! P2 W, g/ R

* D' n) z' r$ L8 y/ O$ ?         $this->ext = file_ext($this->file_name);

! Y+ a. Z9 k; y5 v% M) t

* s9 z8 F2 Z( K! i, g2 y/ X$ S& N( g         $this->fileformat = $fileformat ? $fileformat : $DT['uploadtype'];

0 k1 y1 E. ?8 H' T1 U" n* y

        $this->maxsize = $DT['uploadsize'] ? $DT['uploadsize']*1024 : 2048*1024; / e5 F( \" E [5 K0 s

& f/ L! u0 l- \         $this->savepath = $savepath;

/ W; l) C6 y, Q* i- n! [4 q o

        $this->savename = $savename;

2 d) v* h2 h0 }) g0 |- l9 i

    }} 9 i* ]: k7 D4 z2 C9 h4 M. v

4 W7 m( n+ z! Z, Z' [' | \+ h

这里通过foreach($_file as $file)来遍历初始化各项参数。而savepath、savename则是通过__construct($_file, $savepath, $savename = '', $fileformat = '')直接传入参数指定。 3 H& h$ m! ^3 Z4 [ Q: Y6 N" [1 V4 j5 f3 B

. t) p: a8 w1 F. j& h3 M* O

因此考虑上传了两个文件，第一个文件名是1.php，第二个文件是1.jpg，只要构造合理的表单上传（参考：https://www.cnblogs.com/DeanChopper/p/4673577.html），则在avatar.inc.php中

9 Q* A1 d) Y3 W u

9 E4 X5 j! c% m5 [ $ext = file_ext($_FILES['file']['name']); // `$ext`即为`php` $name = 'avatar'.$_userid.'.'.$ext; // $name 为 'avatar'.$_userid.'.'php'$file = DT_ROOT.'/file/temp/'.$name; // $file 即为 xx/xx/xx/xx.php * v* q& {- J4 m6 A4 {" M

而在upload类中，由于多个文件上传，$this->file、$this->file_name、$this->file_type将foreach在第二次循环中被置为jpg文件。测试如下：

% e5 @1 g: p2 Y6 n# U4 r

 

; x* j3 U5 j- j

回到avatar.inc.php，当进行文件保存时调用$upload->save()，include/upload.class.php:50: 3 D. N- u& ]% U# e( _' v0 w* ]

& U3 K' D' ]; b- Q. B2 I- e7 @, o7 J <?phpclass upload {

4 B( p; T8 B% q/ h

/ U4 `' S2 b+ x     function save() { / i \$ V2 X" ^# E* i7 g4 |! B/ Z

/ i7 a! g( g$ Y0 w5 \

        include load('include.lang');

        if($this->file_error) return $this->_('Error(21)'.$L['upload_failed'].' ('.$L['upload_error_'.$this->file_error].')');

 

, m, ^3 x+ G q, `1 s' ]$ e

# i/ e0 U/ \3 F N" d" i; y4 @         if($this->maxsize > 0 && $this->file_size > $this->maxsize) return $this->_('Error(22)'.$L['upload_size_limit'].' ('.intval($this->maxsize/1024).'Kb)');

- e) ~( K/ e- A' d; q4 P

  + K9 ]* I/ U$ S$ x9 E

- y7 N }5 X4 H' V. Y2 j

g' g/ A6 f- A4 S& F         if(!$this->is_allow()) return $this->_('Error(23)'.$L['upload_not_allow']);

5 Z+ A/ F( N4 M

  $ {% H: w& O$ c

4 v% ?# J$ g* X! g9 {% x1 p

2 W7 d4 V. t. K& ?+ H7 g" x8 X# ^         $this->set_savepath($this->savepath);

        $this->set_savename($this->savename); : m/ ~" ^) z7 y% U: t$ o8 w

- O" `: T* U k v! J+ V- o

  9 E' X4 K3 X' F( s

        if(!is_writable(DT_ROOT.'/'.$this->savepath)) return $this->_('Error(24)'.$L['upload_unwritable']); 1 A9 n0 U+ x7 h) x' [7 o$ ]/ s; o

: m# Z4 C1 i; U0 J2 o         if(!is_uploaded_file($this->file)) return $this->_('Error(25)'.$L['upload_failed']);

' I5 P- l h. i- C# k# z' T

        if(!move_uploaded_file($this->file, DT_ROOT.'/'.$this->saveto)) return $this->_('Error(26)'.$L['upload_failed']); 6 ^( E8 K" y" W- D0 T

3 r- H9 ]& B8 p+ B  

" P' A0 f) F; f8 o         $this->image = $this->is_image();

- M! S# L5 P J8 K$ k+ u         if(DT_CHMOD) @chmod(DT_ROOT.'/'.$this->saveto, DT_CHMOD); , A6 J9 a+ Y& Q

! e `3 r! o9 B5 P6 H) a% i

" y# N# g" o1 Y1 X" ?         return true; ( Q- v \7 I) b* s# {( z

2 M, P: C; A% V% n( L5 V     }} # \& B7 M+ b" f, f8 g! j

/ d) u) Q2 m$ O: C

% ^+ R h" F) G$ E3 l2 d0 t 先经过几个基本参数的检查，然后调用$this->is_allow()来进行安全检查 include/upload.class.php:72： ) o7 I( d" K2 u& w

: D' ^% c; T, V- v/ Q: s

) c* [& R- ^1 P8 V9 L7 I <?php

( h i( K$ |9 k% i! c

    function is_allow() {

1 n% L# n' A5 g) N9 G

        if(!$this->fileformat) return false; $ U2 b3 j; A0 T" q" y2 g

7 ?; F/ L: s5 l M4 H1 u         if(!preg_match("/^(".$this->fileformat.")$/i", $this->ext)) return false;

        if(preg_match("/^(php|phtml|php3|php4|jsp|exe|dll|cer|shtml|shtm|asp|asa|aspx|asax|ashx|cgi|fcgi|pl)$/i", $this->ext)) return false; / z& F% v# a: w! M6 i6 o1 x

( n: C, M+ f% v" F! v# V         return true; 6 h+ `) Z' n$ A: L% a3 t

+ `8 ~! u& q- |7 n) D& Y$ b

    } , u! I1 t$ V1 z6 ] [% p

可以看到这里仅仅对$this->ext进行了检查，如前此时$this->ext为jpg，检查通过。 / l& D, T' T; H. B0 b; P

接着会进行真正的保存。通过$this->set_savepath($this->savepath); $this->set_savename($this->savename);设置了$this->saveto，然后通过move_uploaded_file($this->file, DT_ROOT.'/'.$this->saveto)将file保存到$this->saveto ，注意此时的savepath、savename、saveto均以php为后缀，而$this->file实际指的是第二个jpg文件。 + t7 |1 X+ v- f' ]

1 `* H7 X( Q' |4 |& Q

$ V5 G6 X' t+ L 漏洞利用 ' k( T# E- } ]# [1 F

% B* l: k, g' f9 r

6 F6 g# u% e' ] 综上，上传两个文件，其中第一个文件以php为结尾如1.php，用于设置后缀名为php；第二个文件为1.jpg，jpg用于绕过检测，其内容为php一句话木马(图片马)。

0 y% v6 ~$ Z. U. K

  - j n) o1 P, G$ h3 \' ]( T

然后访问http://127.0.0.1/file/temp/avatar1.php 即可。其中1是自己的_userid

$ m4 [- o( S, ~# N0 p9 C 不过实际利用上会有一定的限制。

3 |: ~ Z- h6 U& P+ \# J 第一点是destoon使用了伪静态规则，限制了file目录下php文件的执行。 ; e' v0 v) w! r! Q8 u3 T% c

( P* a6 a- t$ C% f! j4 f

 

( n8 X. N8 ^3 E H 第二点是avatar.inc.php中在$upload->save()后，会再次对文件进行检查，然后重命名为xx.jpg：

& T( g2 U: s& O* f1 n 省略...$img = array();$img[1] = $dir.'.jpg';$img[2] = $dir.'x48.jpg';$img[3] = $dir.'x20.jpg';$md5 = md5($_username);$dir = DT_ROOT.'/file/avatar/'.substr($md5, 0, 2).'/'.substr($md5, 2, 2).'/_'.$_username;$img[4] = $dir.'.jpg';$img[5] = $dir.'x48.jpg';$img[6] = $dir.'x20.jpg';file_copy($file, $img[1]);file_copy($file, $img[4]);省略... 1 Q+ J1 i' m; G# P1 M

. a2 ?4 J5 p$ T7 I" D 因此要利用成功就需要条件竞争了。 / p9 X8 }, F J3 R

补丁分析

- a- V1 v% ^: d7 j, X6 }' I

) R1 U+ Q% o& J, J: ]   6 ? A3 u h, v' Y6 z# \7 d! P

( V: |8 G9 i8 m/ M# {/ A* U

& N% V/ n( k: _" U: V 在upload的一开始，就进行一次后缀名的检查。其中is_image如下： 4 ~! q# N6 I1 S' R$ m

function is_image($file) {    return preg_match("/^(jpg|jpeg|gif|png|bmp)$/i", file_ext($file));}

  2 S1 E/ q* d! c. b, d3 U; d/ ~

" r3 B o. b" Y; j0 G/ c, W- ] 在__construct()的foreach中使用了break，获取了第一个文件后就跳出循环。 : O; F/ p7 Z* x: x4 k F: y3 u. h

9 Y+ U: k5 L. H+ _3 H

在is_allow()中增加对$this->savename的二次检查。 $ ?: m% X. [# w9 s+ J- {

0 z' {* `+ t$ v2 h0 Z0 g; [% t, z

1 ? Y' a9 ?2 e; c y* e% l 最后 ( H: h" Q5 K8 y

( G7 A( g4 @8 M

% K& {" U1 r a! d( R 嘛，祝各位大师傅中秋快乐！

  " S8 [0 i, A" e% F5 o9 A; Z