Destoon cms前台getwebshell

admin

! S$ h \" j% C- X 前言 + K# G# y* z& T$ i. D0 Q/ z

2018年9月21日，Destoon官方发布安全更新，修复了由用户“索马里的海贼”反馈的一个漏洞。

  * C. `+ M8 N& z: D( Z0 n' f w

6 K' b* _/ z+ U3 P; g0 w

漏洞分析

根据更新消息可知漏洞发生在头像上传处。Destoon中处理头像上传的是 module/member/avatar.inc.php 文件。在会员中心处上传头像时抓包，部分内容如下： * U* ]0 p3 q7 _3 p7 i$ z) m

. b% C$ r# R8 z+ s3 N4 e7 b& i

: }0 @: g/ o0 p9 z5 h" ?1 s: i   + [$ u. l, q! ^) f* M

对应着avatar.inc.php代码如下： / `3 R% H% C' p$ h3 h1 l* t/ O: Y

) ~. a7 k9 C9 i+ g/ M: D2 H

<?php defined('IN_DESTOON') or exit('Access Denied');login();require DT_ROOT.'/module/'.$module.'/common.inc.php';require DT_ROOT.'/include/post.func.php';$avatar = useravatar($_userid, 'large', 0, 2);switch($action) { ( L5 f" |4 {1 v! w3 t) F" F- g

. ^- O, @+ M F6 I X: a: c

/ M: g4 Y* d* J7 B     case 'upload':

) C# l; K7 q) N5 `% T9 t

* }% W0 Y5 G$ N9 [/ Y0 D4 O3 @         if(!$_FILES['file']['size']) { / R# o0 [+ s8 H/ P4 _, s/ {

( K( Z7 U9 V- H6 j% ?7 M7 A# @

8 w; H/ n: c+ i+ F, X( _" d$ U             if($DT_PC) dheader('?action=html&reload='.$DT_TIME); * |( v+ d5 q$ J2 g7 C

8 m1 J( ~1 t2 O! v' V

- r" c3 T/ ~# o; |6 t             exit('{"error":1,"message":"Error FILE"}');

5 b/ k- ?+ e& t5 H' c) D4 @         }

1 \3 V: f, y. u$ C, s+ j, _

        require DT_ROOT.'/include/upload.class.php';

; V8 m- [% ?' e( Y

( s e2 ^; B/ I7 G* {9 r7 z u C: H   ; m9 `& l. D+ w/ N

        $ext = file_ext($_FILES['file']['name']); 6 L, o X( a' Y

4 p* C( d& U Z. \" C7 ?6 ^" Q2 I$ f

; C/ J* E& d; Y1 G         $name = 'avatar'.$_userid.'.'.$ext; 8 }6 F- g) A, {5 @6 Y

, j4 Z% l6 s+ o2 t         $file = DT_ROOT.'/file/temp/'.$name;

& G" L7 b4 H1 U' O! |& Z

  " T( X" m d3 e) o0 d

        if(is_file($file)) file_del($file);

        $upload = new upload($_FILES, 'file/temp/', $name, 'jpg|jpeg|gif|png');

: P5 y& | t: `5 u* t

* V+ V y3 h, ]( b3 e  

/ V. W! v+ X% m% [$ a' T0 l

        $upload->adduserid = false; - ~3 Z/ v1 T; V) G, e5 d

( g1 v d! B g% g   2 H2 M2 C* I5 j9 I6 q

3 e2 T5 U* U$ {8 j' l% h

        if($upload->save()) { ; m- O2 n% d3 E3 l" ~$ p0 s

            ...

9 I$ e6 r! g% t8 F         } else {

& t6 z: e; ]: J$ O

4 Q* o' F0 q5 Q% I3 P7 A% c             ...

+ _8 H3 D, E5 I! Y7 y7 A3 m

        } ! C( J) L# \0 i+ Y, j* |/ Y

Q* {) h# F, h: t

    break;

这里通过$_FILES['file']依次获取了上传文件扩展名$ext、保存临时文件名$name、保存临时文件完整路径$file变量。之后通过new upload();创立一个upload对象，等到$upload->save()时再将文件真正写入。

2 q5 U7 Z1 ~7 k! k" v

upload对象构造函数如下，include/upload.class.php:25：

<?phpclass upload { 9 ?" Q3 E- g: h$ l2 C

    function __construct($_file, $savepath, $savename = '', $fileformat = '') {

9 O# m# ]4 P. }2 l- M

        global $DT, $_userid; ' _1 y$ x3 m% m1 |

        foreach($_file as $file) { 6 m, A- l3 K) `9 D$ f

$ c# j# \" X" R' `

& w$ a0 p+ V# ]5 z/ n; i1 r             $this->file = $file['tmp_name']; 4 C- X& k7 _7 M. \

: }" m% w5 `6 t: Z+ R4 I             $this->file_name = $file['name'];

0 h" i8 ]& e8 }4 T$ p; b

( _0 m2 L- Q1 }; F             $this->file_size = $file['size'];

* y9 h0 ]) W; X3 e7 J( v o

            $this->file_type = $file['type'];

* s" ^4 p! n* v             $this->file_error = $file['error'];

% }- M# x- B# j) R- R, F

' C0 p, e% S# J4 ~, q+ \0 m2 @/ H) u! |  

( ^/ B# n7 Y; j( P+ t$ K+ ?

2 n" E% x4 r/ s4 d! R# Z5 E         }

/ E! O- z" G: ~( D Y ^ q

8 L* K4 K' s L+ `6 U$ }         $this->userid = $_userid;

* k( R( j2 D/ m* X

        $this->ext = file_ext($this->file_name); $ ^, I) D5 j# c! ], t4 i! \1 b% v6 A

& d! @- Z, Z: p" E& }; l( }* W         $this->fileformat = $fileformat ? $fileformat : $DT['uploadtype'];

7 d+ Y, i: ~* P5 R, q {

+ s, M2 y) {- q8 A T         $this->maxsize = $DT['uploadsize'] ? $DT['uploadsize']*1024 : 2048*1024;

" z, z9 q# F! A4 @* a1 Q, H5 W4 R+ B         $this->savepath = $savepath; 4 |! U& V8 n+ j4 a+ v W9 A

        $this->savename = $savename; $ f3 B( B% Q7 S' ?# {$ D

% g6 c; e" ^. C0 J O/ t7 _3 V# f

    }} ) @7 x; H) w: \% R X3 ?; \- v

|4 k# t2 L! j" c; n( w+ @9 V

这里通过foreach($_file as $file)来遍历初始化各项参数。而savepath、savename则是通过__construct($_file, $savepath, $savename = '', $fileformat = '')直接传入参数指定。

9 M. b) s# K. {$ c% n: X! a 因此考虑上传了两个文件，第一个文件名是1.php，第二个文件是1.jpg，只要构造合理的表单上传（参考：https://www.cnblogs.com/DeanChopper/p/4673577.html），则在avatar.inc.php中 . h4 n& n4 f0 F% q: Q* V6 g

6 Y$ g2 q( j' p

- z: r8 g: c: @6 W $ext = file_ext($_FILES['file']['name']); // `$ext`即为`php` $name = 'avatar'.$_userid.'.'.$ext; // $name 为 'avatar'.$_userid.'.'php'$file = DT_ROOT.'/file/temp/'.$name; // $file 即为 xx/xx/xx/xx.php

而在upload类中，由于多个文件上传，$this->file、$this->file_name、$this->file_type将foreach在第二次循环中被置为jpg文件。测试如下： - k Y" J( B0 W" C3 q2 }, W i$ o

0 [ c, O( [0 j" q5 G

 

( d& ~# {9 l* O, q# V9 |. f 回到avatar.inc.php，当进行文件保存时调用$upload->save()，include/upload.class.php:50:

+ ?5 _% H+ c5 f# ]/ O' d- p; S <?phpclass upload { f% ~0 J4 t# x% }! Z3 i% G' V

; X2 F7 W7 @( |/ ]5 e* n7 ?4 Q     function save() {

; C# C1 C6 s! O9 K         include load('include.lang');

! z: }2 b0 O# }3 |

; L4 E$ g* m4 V3 ] B& u5 l         if($this->file_error) return $this->_('Error(21)'.$L['upload_failed'].' ('.$L['upload_error_'.$this->file_error].')');

% T' C6 p+ |# P# k- }

  * Q' y8 M; G& B/ j3 J( @3 t

        if($this->maxsize > 0 && $this->file_size > $this->maxsize) return $this->_('Error(22)'.$L['upload_size_limit'].' ('.intval($this->maxsize/1024).'Kb)');

$ @- ]( U9 o: u6 P; y8 f# V0 e   # m; A7 h$ W" b0 Y3 J

        if(!$this->is_allow()) return $this->_('Error(23)'.$L['upload_not_allow']); 6 ]& P5 ]6 c# d ~$ y% ]8 y& j5 O

2 k( N1 f9 V* N; g

  % C: g2 R ]- q7 U' M+ G% C4 h

/ O) m% u0 V2 F4 `$ f; y" ~         $this->set_savepath($this->savepath);

        $this->set_savename($this->savename);

& o9 x$ v r0 V4 |8 M

! ^( {- o/ R7 K4 T6 ]# g   ! @9 {. |- q0 M( ?

        if(!is_writable(DT_ROOT.'/'.$this->savepath)) return $this->_('Error(24)'.$L['upload_unwritable']);

        if(!is_uploaded_file($this->file)) return $this->_('Error(25)'.$L['upload_failed']); 1 d$ _: Y* ^, e

        if(!move_uploaded_file($this->file, DT_ROOT.'/'.$this->saveto)) return $this->_('Error(26)'.$L['upload_failed']); " u( @4 q! o7 x7 T2 `& d9 y0 h2 s4 L

1 W4 g' x1 }+ n+ [* p+ r

# |4 r7 c6 h& S7 {, k5 u  

3 e# z1 y3 O: H! v+ I         $this->image = $this->is_image(); + K1 j; }2 v4 C$ i1 ~: q& z$ q' p! m; b

7 B4 k0 H$ O+ r

        if(DT_CHMOD) @chmod(DT_ROOT.'/'.$this->saveto, DT_CHMOD); 5 T% d& u8 H. ?6 e8 J# {

; s" r2 f. Y+ a% p1 I

        return true;

: H* r! @8 e0 s0 \. Q( G     }}

1 j& g/ O. j7 k, N1 `% q 先经过几个基本参数的检查，然后调用$this->is_allow()来进行安全检查 include/upload.class.php:72：

<?php

' L; d: D/ `) [' Q1 ~

    function is_allow() { & {" ?7 c' o- Y

M! p" [3 t& X$ p/ W* D3 y

( F+ r6 d) L* n+ W) r; M1 u( P         if(!$this->fileformat) return false; 6 M7 [8 A7 r0 g: b* q* N

4 a1 {8 P: U: U& @6 v$ ^

# O1 t) G: w, `3 y* [: U         if(!preg_match("/^(".$this->fileformat.")$/i", $this->ext)) return false; 2 w) Q& }8 \2 ~- z4 ]' ], }. k4 x

2 N8 \; q0 q7 F- y

: |$ Q5 @- U+ d         if(preg_match("/^(php|phtml|php3|php4|jsp|exe|dll|cer|shtml|shtm|asp|asa|aspx|asax|ashx|cgi|fcgi|pl)$/i", $this->ext)) return false; * K- z$ I: t; q: `: s7 t

6 P+ @/ D/ h0 X, b6 ^/ b$ a

        return true; , t) ?4 g7 q3 l( `8 r5 T, ?2 T* u

/ M; P+ |: A8 W" I6 U

    }

/ B0 u/ M- x3 e! H

% V% b1 j7 Z0 L* J- [ 可以看到这里仅仅对$this->ext进行了检查，如前此时$this->ext为jpg，检查通过。 + ]2 D. G* {6 U& C9 h

- c/ B' e; v! w9 w( m 接着会进行真正的保存。通过$this->set_savepath($this->savepath); $this->set_savename($this->savename);设置了$this->saveto，然后通过move_uploaded_file($this->file, DT_ROOT.'/'.$this->saveto)将file保存到$this->saveto ，注意此时的savepath、savename、saveto均以php为后缀，而$this->file实际指的是第二个jpg文件。 ; E% {0 I. M: b( i! l! [. |

" m" ^( j9 u6 [ 漏洞利用 / E3 a. n {3 V9 c, Y9 p, w

综上，上传两个文件，其中第一个文件以php为结尾如1.php，用于设置后缀名为php；第二个文件为1.jpg，jpg用于绕过检测，其内容为php一句话木马(图片马)。

 

4 @7 K% ?* @3 z% g: p" v o' h

然后访问http://127.0.0.1/file/temp/avatar1.php 即可。其中1是自己的_userid 4 @7 `& R; d7 a! \0 U0 M6 h& o

; z( w! I% a% z2 E) v% }* N

不过实际利用上会有一定的限制。

( I1 O, J* G2 P' p" M$ ?! h P

- p' R) p0 d( G 第一点是destoon使用了伪静态规则，限制了file目录下php文件的执行。

; {( f! e7 k2 t+ m. h' v

( b; z- o6 Q& M% G! s0 d0 Y* ]  

第二点是avatar.inc.php中在$upload->save()后，会再次对文件进行检查，然后重命名为xx.jpg： 3 ?8 N8 V. p( R

$ O. ]! Z; g, x* e* Y

省略...$img = array();$img[1] = $dir.'.jpg';$img[2] = $dir.'x48.jpg';$img[3] = $dir.'x20.jpg';$md5 = md5($_username);$dir = DT_ROOT.'/file/avatar/'.substr($md5, 0, 2).'/'.substr($md5, 2, 2).'/_'.$_username;$img[4] = $dir.'.jpg';$img[5] = $dir.'x48.jpg';$img[6] = $dir.'x20.jpg';file_copy($file, $img[1]);file_copy($file, $img[4]);省略... ! o( k5 N( e) y2 X' @

因此要利用成功就需要条件竞争了。 1 W: i1 H; y' o( B

补丁分析 ' j- R$ H+ a" m' m

3 ]6 G: O e( t: _7 n" s  

# w. E, z! {: f. l. _

在upload的一开始，就进行一次后缀名的检查。其中is_image如下：

# Q, d- S/ Y5 E0 w0 G+ e/ ]$ t0 g function is_image($file) {    return preg_match("/^(jpg|jpeg|gif|png|bmp)$/i", file_ext($file));} 4 u, w! `- g3 b5 b5 u

, W8 n% u$ |2 `% i

, G3 k% z8 ]2 ~' b  

在__construct()的foreach中使用了break，获取了第一个文件后就跳出循环。 F" m4 M) {- y8 e' E9 \! X

在is_allow()中增加对$this->savename的二次检查。

) ?: T" }+ B* F; ~* z8 c

最后 : I8 d3 N6 _* R" a# i

3 Z+ _ p% Y `2 G) N) p

嘛，祝各位大师傅中秋快乐！

  1 s- ~) u( T0 t. x3 O

$ J7 f1 K# c. ]- t