Destoon cms前台getwebshell

admin

, l/ b# s8 |& L# l- B) Q2 a

% N. Z9 i. x2 b t" C3 z K

前言

/ m# `/ e2 ^0 y6 M" I: I1 D% d, h

% t$ |9 n2 ~$ Z/ E3 M 2018年9月21日，Destoon官方发布安全更新，修复了由用户“索马里的海贼”反馈的一个漏洞。 . d$ Z$ d) }4 m/ X

8 ? B' E4 V. j( x

( j: M% C W3 ?4 s   0 v3 ]$ w) e( P9 @

$ ^* i, n! |/ N' k1 v1 p 漏洞分析

. E: t, G F' p H. g" H

根据更新消息可知漏洞发生在头像上传处。Destoon中处理头像上传的是 module/member/avatar.inc.php 文件。在会员中心处上传头像时抓包，部分内容如下： * Y% S: e- t& | C

2 e& a: i* t0 ]# ^& B" N5 M  

对应着avatar.inc.php代码如下：

; T! A% h% \' s& W

<?php defined('IN_DESTOON') or exit('Access Denied');login();require DT_ROOT.'/module/'.$module.'/common.inc.php';require DT_ROOT.'/include/post.func.php';$avatar = useravatar($_userid, 'large', 0, 2);switch($action) { 2 T* j0 {7 y, `

- [1 {: \- {( ]& `! D     case 'upload':

        if(!$_FILES['file']['size']) {

- o" g0 [& ~& V" e' w2 R2 U             if($DT_PC) dheader('?action=html&reload='.$DT_TIME);

* v/ J( a$ A0 O             exit('{"error":1,"message":"Error FILE"}');

6 q7 a# h! @9 o5 U

, U4 z, m6 _' i7 A5 P         }

" l9 N! M% [/ ~: u

2 g3 T* @: S5 L L' V: s         require DT_ROOT.'/include/upload.class.php'; , e3 T& ^, a' c: U

7 j# {8 W9 }8 s3 G: u, F

5 ?* L. Y- _- ?  

        $ext = file_ext($_FILES['file']['name']);

        $name = 'avatar'.$_userid.'.'.$ext;

) b" j P m# Y2 l9 l

+ X! [9 U+ P" h# R1 X         $file = DT_ROOT.'/file/temp/'.$name; 7 v) V/ a( o5 @

 

# h% x/ V) M7 ^+ w1 ?         if(is_file($file)) file_del($file); ; j6 z) w+ ?+ _ g+ Y1 L

4 t# S# d- Q, U& I; `8 t

        $upload = new upload($_FILES, 'file/temp/', $name, 'jpg|jpeg|gif|png');

0 i6 q& G& e. t z8 s! O

  ) }, {) J# J% X

+ I' q+ u ^5 ~# |% C9 s0 b

* D9 T% n3 e- Z1 K0 i         $upload->adduserid = false; 1 h+ d- m+ E5 G( X! G- B1 K

2 d; t( g8 j# n$ E9 u% |& a

 

/ i* o) F- f7 }( [         if($upload->save()) {

/ R K& I$ E/ i- U4 z+ K             ... ) d" G2 R6 J# T/ i# A

        } else { : s, A! H6 F% S/ v1 W7 L$ ]: v: z

8 b) C) n: V( _4 |2 O6 d3 @( w

            ... / C& ?0 O6 G, W$ O- ?

P( @: v: C# ]$ h! E, @7 E5 L

# c9 m5 L; z" A0 v& K/ ]         } # l9 C/ h" O, }6 l0 l' r; m; m

    break;

( h! t' n+ t- _& _% U/ V

0 X+ G3 x1 J- X! `+ ]2 ~" e6 E: c 这里通过$_FILES['file']依次获取了上传文件扩展名$ext、保存临时文件名$name、保存临时文件完整路径$file变量。之后通过new upload();创立一个upload对象，等到$upload->save()时再将文件真正写入。

upload对象构造函数如下，include/upload.class.php:25：

5 V" }! }; _5 k5 a7 ? <?phpclass upload { 7 `6 v. X. O9 s5 E/ v5 `% A$ k4 X

- a' K5 x$ X. B0 v3 B

    function __construct($_file, $savepath, $savename = '', $fileformat = '') { 4 t: N, |) ~. a* \( _# F

        global $DT, $_userid;

, R1 v7 Q& x, _6 C" r% y% ~

. k5 U7 P+ L0 v$ L' D% Z         foreach($_file as $file) { + D7 E# }; L; }+ N# }3 d9 t

2 a+ ~* R8 Z5 f1 m+ C; G. W1 i! M

            $this->file = $file['tmp_name']; 8 L, R% P2 k# n2 M" N

/ G" u8 Q L- H( y

            $this->file_name = $file['name']; ) r) @; a8 c; O; v- K9 `, }

: I' G& s$ w4 o0 p+ v1 W

2 k0 W! o9 H5 z4 K. Q+ i             $this->file_size = $file['size'];

6 v9 X+ l9 _) a, [" @

' ~4 l& X, X6 c- N0 B* P4 H             $this->file_type = $file['type']; ; s0 `: V* Q; |5 e, E

            $this->file_error = $file['error']; , O! l7 J8 O2 X: V; |

1 A% q0 N' G2 K5 ^5 z9 h  

- ?, y4 `' ]% g, `, u' l6 a! d         } * t8 l6 |: ]$ y1 s9 a' e c

        $this->userid = $_userid; X& t* M; J+ [- v+ J( m; R

1 k) ?4 Y- l; g2 ~) A

' [5 S# F, p7 s9 E! W" X         $this->ext = file_ext($this->file_name); ! i0 O$ z+ g! [( Q

, E7 }8 f5 Z* {( f% L* v( n

        $this->fileformat = $fileformat ? $fileformat : $DT['uploadtype']; # d0 x7 @' J" s' e' W& p" o

        $this->maxsize = $DT['uploadsize'] ? $DT['uploadsize']*1024 : 2048*1024;

1 Z% i, c/ h4 y9 N         $this->savepath = $savepath; 5 L. @2 [% v$ G2 O/ @

) P- ~" i8 r, w# p4 q         $this->savename = $savename; * D5 y C& \2 ?4 T

; b- I% \! s7 U6 W# l

    }}

, R8 ~; V$ b4 F2 ?! S

这里通过foreach($_file as $file)来遍历初始化各项参数。而savepath、savename则是通过__construct($_file, $savepath, $savename = '', $fileformat = '')直接传入参数指定。 + B4 L9 T. ~- @5 s0 R2 P4 U0 W

; q* J o% Q' G) O. P. u- w7 N

因此考虑上传了两个文件，第一个文件名是1.php，第二个文件是1.jpg，只要构造合理的表单上传（参考：https://www.cnblogs.com/DeanChopper/p/4673577.html），则在avatar.inc.php中 " w( z1 n) B" ^- |4 L

$ext = file_ext($_FILES['file']['name']); // `$ext`即为`php` $name = 'avatar'.$_userid.'.'.$ext; // $name 为 'avatar'.$_userid.'.'php'$file = DT_ROOT.'/file/temp/'.$name; // $file 即为 xx/xx/xx/xx.php

而在upload类中，由于多个文件上传，$this->file、$this->file_name、$this->file_type将foreach在第二次循环中被置为jpg文件。测试如下： 6 {1 U$ W7 z3 x$ e8 H

 

8 d, k9 C" N% R. t7 I7 N 回到avatar.inc.php，当进行文件保存时调用$upload->save()，include/upload.class.php:50: . ^( j7 P8 s& r+ u# V; g- y; I

. j% x$ R9 ^ g4 @3 O/ M

<?phpclass upload {

    function save() { 1 j$ B' y! I* t9 x

$ r) s0 B6 }: I1 J& `; t

# c, \. ^0 Y2 Q! r. D         include load('include.lang');

0 b6 C" f3 H- G5 N3 n/ j; M+ n

2 s& Y! J4 ^- c         if($this->file_error) return $this->_('Error(21)'.$L['upload_failed'].' ('.$L['upload_error_'.$this->file_error].')'); . ?3 p( f' @+ I, F8 q) O9 W% t: r

+ e0 ~0 E% r& x

 

        if($this->maxsize > 0 && $this->file_size > $this->maxsize) return $this->_('Error(22)'.$L['upload_size_limit'].' ('.intval($this->maxsize/1024).'Kb)'); - b5 x( Z' f- j6 e* a! }* ^

- B6 h6 e# v# Z9 U& ]( I   5 b* v3 |& m( ^& J- ~1 O, a) j

9 s% U0 `9 O( J0 q. _" E* N. I: a- Q         if(!$this->is_allow()) return $this->_('Error(23)'.$L['upload_not_allow']); , X( x& h( [! ?) b1 `; Z5 Z

' I5 W' d) Q( W# ~8 n3 F" |   8 h) [8 x) s, @! t o

' u- m7 m$ e9 Y, r; T: c2 V6 M

6 M9 H$ g2 A ^: D( r& `" j j! v         $this->set_savepath($this->savepath);

+ V q' X0 `7 ^' b1 ?& Z( P6 H

: `( B; j# D. C4 n# v$ ^         $this->set_savename($this->savename); . L% D" c( o" t0 h$ L* G

$ u- G$ B6 l# Q8 N: D

9 x+ U' n. |7 C0 }0 T$ R' B, K  

W# G* R, x, @5 s( N0 w5 I3 b

        if(!is_writable(DT_ROOT.'/'.$this->savepath)) return $this->_('Error(24)'.$L['upload_unwritable']); & @: X$ }* @6 t. X1 Z% m* j

, D3 t+ N5 B# S% t0 ^" T; g, y- c3 @

        if(!is_uploaded_file($this->file)) return $this->_('Error(25)'.$L['upload_failed']);

        if(!move_uploaded_file($this->file, DT_ROOT.'/'.$this->saveto)) return $this->_('Error(26)'.$L['upload_failed']); & }( v; a$ d0 t* [% F2 A

' Z' ~" m! \' n5 F8 V9 }& z

/ r! Y6 q: @$ f3 ]0 h4 j   9 m, j0 {4 y% @( \$ d

8 m+ [9 G' s) f/ Z0 G! P         $this->image = $this->is_image(); - t2 o4 q- e0 l1 H( y6 S

4 L" S$ L' f+ g' ^9 l         if(DT_CHMOD) @chmod(DT_ROOT.'/'.$this->saveto, DT_CHMOD);

- \% y# y: C9 c. Z( N! D) f; [         return true;

; O$ h$ k, n# w4 i/ l, v3 b3 U

    }}

9 s6 A1 n' J8 S% ^

# Y, ^1 k9 M F' i; O) ` 先经过几个基本参数的检查，然后调用$this->is_allow()来进行安全检查 include/upload.class.php:72： 7 ^+ S1 B* S* \& P5 O5 n% U# u

) F) ^4 @9 z+ b6 I( w( U

9 {( ~8 M) T, n1 D3 [ k. g <?php

$ {7 L" T, G2 ^# u- i m5 x

6 Y6 C9 A& L* t: c& x. E     function is_allow() {

7 n5 c: b. s" S N8 Q

& h$ j. t; v; R# p( S5 k9 u         if(!$this->fileformat) return false;

8 o( i, V) E( g' u+ G+ d" C8 O

5 E4 g: w+ |# w, p         if(!preg_match("/^(".$this->fileformat.")$/i", $this->ext)) return false; 8 X4 Z3 J% c2 \0 C

- _8 S& V$ p( `! S, o8 b% d ~! {

5 w6 C# q3 \ ?/ ]7 N$ n         if(preg_match("/^(php|phtml|php3|php4|jsp|exe|dll|cer|shtml|shtm|asp|asa|aspx|asax|ashx|cgi|fcgi|pl)$/i", $this->ext)) return false;

. G. p) q+ _+ w7 z

        return true; . U6 {0 K2 q, t( j9 d; j

5 n6 v! ]" F f3 v* d

    }

, S0 h% ~ z5 j0 p8 m& x% X0 A; l* k; w

- J, ]3 V: e) ?9 k0 k8 u 可以看到这里仅仅对$this->ext进行了检查，如前此时$this->ext为jpg，检查通过。

q: h0 @! d1 z/ j. C

接着会进行真正的保存。通过$this->set_savepath($this->savepath); $this->set_savename($this->savename);设置了$this->saveto，然后通过move_uploaded_file($this->file, DT_ROOT.'/'.$this->saveto)将file保存到$this->saveto ，注意此时的savepath、savename、saveto均以php为后缀，而$this->file实际指的是第二个jpg文件。

+ Y+ ]3 x$ K8 n. b 漏洞利用

综上，上传两个文件，其中第一个文件以php为结尾如1.php，用于设置后缀名为php；第二个文件为1.jpg，jpg用于绕过检测，其内容为php一句话木马(图片马)。 2 K* f3 d( m* f# u

, ^6 z" e7 S, q4 m f/ O9 Z  

; Q& j% z! s6 {

, p+ m+ K8 f0 h- \ 然后访问http://127.0.0.1/file/temp/avatar1.php 即可。其中1是自己的_userid " ? V' b' M w' @

, ?2 C X5 H! ]) V

不过实际利用上会有一定的限制。

第一点是destoon使用了伪静态规则，限制了file目录下php文件的执行。

' Z5 `9 ^; i* C$ x

 

* j; t1 o7 K7 A, M* V

( b# O1 m1 I+ F' }& F. E) I 第二点是avatar.inc.php中在$upload->save()后，会再次对文件进行检查，然后重命名为xx.jpg：

3 w. t! D0 S2 O$ Y8 l

省略...$img = array();$img[1] = $dir.'.jpg';$img[2] = $dir.'x48.jpg';$img[3] = $dir.'x20.jpg';$md5 = md5($_username);$dir = DT_ROOT.'/file/avatar/'.substr($md5, 0, 2).'/'.substr($md5, 2, 2).'/_'.$_username;$img[4] = $dir.'.jpg';$img[5] = $dir.'x48.jpg';$img[6] = $dir.'x20.jpg';file_copy($file, $img[1]);file_copy($file, $img[4]);省略... 7 p( l j( x: R+ C- p% R

因此要利用成功就需要条件竞争了。

; D' H. P/ f; p

9 }1 \2 i* [% d8 |' g 补丁分析 # a' M9 ]1 W& u5 }* u1 K2 V

  5 q+ c5 x3 c' Z

! u' A* V4 h8 p" q0 N" G, q

6 _' r) d* R! Q+ @5 @$ F% V 在upload的一开始，就进行一次后缀名的检查。其中is_image如下： * ~ T! v- y0 e4 v5 j

! v1 o7 t* {$ \* w. {% h) [ Z8 p

function is_image($file) {    return preg_match("/^(jpg|jpeg|gif|png|bmp)$/i", file_ext($file));}

  6 w, ?5 f3 |: ?

P) F3 p* R1 z5 z9 a

在__construct()的foreach中使用了break，获取了第一个文件后就跳出循环。

! i, a* w: c& k

p% O. F% c4 N8 Z. M 在is_allow()中增加对$this->savename的二次检查。 ( E" A' a9 I$ }7 [# u! T

# {0 }+ W# I6 q" H

最后 2 ~& _& L* f1 j0 Z

4 V1 u7 V" Z+ T

' c# |: R/ ~0 D# K7 @ 嘛，祝各位大师傅中秋快乐！

1 o" E( r R3 V$ `! p

  * F- F1 C( A$ u( T0 `

3 p: Z2 z3 g. p3 k2 L' f