Destoon cms前台getwebshell

admin

9 K. h+ j! Z* c- U. _, m

. V" P& R6 z$ N, O7 m7 l2 _3 x+ M

前言 & L2 G( \ C5 u! o. r, A

8 O" D! n0 s% f8 X: x% S J

1 o$ ^3 N! S; U/ b# e2 ` 2018年9月21日，Destoon官方发布安全更新，修复了由用户“索马里的海贼”反馈的一个漏洞。

+ t1 `" k) H1 B# a+ A9 w9 N

 

# p( a: q+ b% [. |5 R6 ^9 [

漏洞分析 ( X, z9 M* {( q

7 N0 q' B6 r/ X: R: @/ l6 m$ ` 根据更新消息可知漏洞发生在头像上传处。Destoon中处理头像上传的是 module/member/avatar.inc.php 文件。在会员中心处上传头像时抓包，部分内容如下： 4 i3 t6 ^: ]. G" k- Y. X( E

 

9 y/ v7 d7 v$ N( }$ d2 Y

) c% }+ |3 d- w/ S1 J, X* J 对应着avatar.inc.php代码如下：

<?php defined('IN_DESTOON') or exit('Access Denied');login();require DT_ROOT.'/module/'.$module.'/common.inc.php';require DT_ROOT.'/include/post.func.php';$avatar = useravatar($_userid, 'large', 0, 2);switch($action) {

[) a# O: ?: E* U, h: q     case 'upload': - I% t1 x+ M( W+ K; i% O6 s

+ ~. j+ G: q/ \3 w5 A' b9 e

: K1 \7 A8 P5 M* y I# ~1 a8 W         if(!$_FILES['file']['size']) {

M# ~ O0 e' K8 Y& L1 q1 N- ]2 {+ ?

/ I( o( Q9 F% _9 m8 Z: g) Y             if($DT_PC) dheader('?action=html&reload='.$DT_TIME); ) N1 y0 @: @1 Y9 |

            exit('{"error":1,"message":"Error FILE"}');

        } ; V( w* E6 u+ l

1 |" g4 `4 [( r         require DT_ROOT.'/include/upload.class.php'; " Z0 n; J2 c! }3 C

  8 M1 ]7 g$ q# p3 K6 W7 \

        $ext = file_ext($_FILES['file']['name']);

! A" _) W9 }( ^         $name = 'avatar'.$_userid.'.'.$ext;

        $file = DT_ROOT.'/file/temp/'.$name; ' X" w7 u9 N1 [% J

/ @( S& J* N3 ^5 }# h  

( H# M u, t t: u! P         if(is_file($file)) file_del($file);

. V6 }. ?5 p" ]0 j' y2 D# L         $upload = new upload($_FILES, 'file/temp/', $name, 'jpg|jpeg|gif|png'); ( i6 ^& `5 k% e: P

7 x% c- ]! E$ x* z: `( z* y( [( c- M   1 a: W9 b5 G/ Y, ]" r

9 x: O' Q H8 c+ g

& n. q4 X" o9 I5 P( {3 W         $upload->adduserid = false; % V) K% a) Y" n8 s" m4 {

2 o5 i5 A4 f3 q% ^( C, {3 r

+ p! s0 L! `0 @* H) G" h5 b6 N  

# D0 z6 x0 Q& a: b( `% `( A

        if($upload->save()) { ' b( t" u. U# B1 U4 T' ~

9 S0 l* n; S) N( |) }

            ... , o( c4 L4 @# y& C

$ D+ G- m3 f$ H; T+ _

        } else {

+ `6 t5 O2 e/ t4 n9 f" D             ...

! y2 d. O. p- ^0 j* U( C5 o

        }

7 j+ y! a# r/ w8 d" @

    break; 6 c0 I& u# E% ], k9 L1 S; z

这里通过$_FILES['file']依次获取了上传文件扩展名$ext、保存临时文件名$name、保存临时文件完整路径$file变量。之后通过new upload();创立一个upload对象，等到$upload->save()时再将文件真正写入。

upload对象构造函数如下，include/upload.class.php:25：

7 }4 H1 B* c2 c: V3 M <?phpclass upload {

6 b) r$ `8 d: F4 }     function __construct($_file, $savepath, $savename = '', $fileformat = '') {

        global $DT, $_userid;

9 i; V2 u: B* P- n! N         foreach($_file as $file) { $ K) k2 J0 I1 Y/ B3 Q7 R

7 K% q" @8 b- G

            $this->file = $file['tmp_name'];

! o" V4 r( Q! l. E& G! s             $this->file_name = $file['name'];

5 p6 |1 G1 O4 F2 L

, c. |7 t" X% k8 M8 `             $this->file_size = $file['size']; ! j, g; ^5 L% {. g7 B/ A+ y

) F$ L* j! e7 D" [% v6 |; \6 `* ?             $this->file_type = $file['type'];

            $this->file_error = $file['error']; 9 U7 S9 ^' r7 x8 \

3 Q: p+ A2 H5 B3 j

  4 w5 G% V" x7 {& u- W

. c5 J* X* Z( Q+ J& q

        }

/ ~- e5 G1 H, V- W/ C$ X5 {

/ L& P3 y9 d4 S, B) K" O         $this->userid = $_userid; . ~" a+ \# G f& t- \$ a2 t3 I

        $this->ext = file_ext($this->file_name);

4 [+ t6 O8 E+ p: _! R

) T7 p( o! e4 O( h( S         $this->fileformat = $fileformat ? $fileformat : $DT['uploadtype']; ' @' k% @, n( w5 h

5 d! J6 G1 ~* B* |" Z

9 `6 o W+ B7 O. e: Q$ K1 v         $this->maxsize = $DT['uploadsize'] ? $DT['uploadsize']*1024 : 2048*1024;

: _7 F0 R( c) g5 }, q         $this->savepath = $savepath;

        $this->savename = $savename; / s- A3 s+ D( u) D6 p8 U) f

    }} / A9 t- ` e5 [0 F

; e% [$ R2 G7 R l* ^" h 这里通过foreach($_file as $file)来遍历初始化各项参数。而savepath、savename则是通过__construct($_file, $savepath, $savename = '', $fileformat = '')直接传入参数指定。 # ]3 Y7 I/ o" n0 R( K \6 U) M% R

/ u! ?. N( }: f `9 ^& K7 {2 c! j; A 因此考虑上传了两个文件，第一个文件名是1.php，第二个文件是1.jpg，只要构造合理的表单上传（参考：https://www.cnblogs.com/DeanChopper/p/4673577.html），则在avatar.inc.php中 8 [8 @/ u( X, G" E: O; z" m' M# F7 O

, @5 z9 D$ L9 E$ C" A, D1 z5 T $ext = file_ext($_FILES['file']['name']); // `$ext`即为`php` $name = 'avatar'.$_userid.'.'.$ext; // $name 为 'avatar'.$_userid.'.'php'$file = DT_ROOT.'/file/temp/'.$name; // $file 即为 xx/xx/xx/xx.php / p1 A9 O/ c# @6 t6 m/ v

而在upload类中，由于多个文件上传，$this->file、$this->file_name、$this->file_type将foreach在第二次循环中被置为jpg文件。测试如下： . @. R' X& s# W- O6 H |

0 s) v1 @* m1 m

 

$ K0 B: F4 x# W& I

回到avatar.inc.php，当进行文件保存时调用$upload->save()，include/upload.class.php:50: & w1 q$ U+ ?- b: u* \1 c; z

1 ?/ x! f# Z" | <?phpclass upload { 9 M' _/ Z+ s. L: Q$ n6 D1 r

7 g* x y1 X4 O7 z( u, `) c% [

    function save() {

        include load('include.lang');

- Y! R. g% |3 @. q- J

0 w5 }6 A& x! `1 R         if($this->file_error) return $this->_('Error(21)'.$L['upload_failed'].' ('.$L['upload_error_'.$this->file_error].')'); " i! ]' C9 A. q. |& w

N7 V+ l* s0 K/ C" ~  

        if($this->maxsize > 0 && $this->file_size > $this->maxsize) return $this->_('Error(22)'.$L['upload_size_limit'].' ('.intval($this->maxsize/1024).'Kb)');

* m- H0 [0 e' h5 o  

" ^6 F* v- H* J& v; f

8 |- c3 z; l" |( V/ q         if(!$this->is_allow()) return $this->_('Error(23)'.$L['upload_not_allow']);

+ [) y8 [1 ]6 D/ _$ z0 T: {   * s- g8 i F% @1 k. q

& {' o9 V) ]. V6 m4 J, h

        $this->set_savepath($this->savepath); }; B# t( D4 }; [/ i6 _

+ \% ]) ?& X3 i& V* ]! c l         $this->set_savename($this->savename); : N5 K; g; ~# f' Y8 [

 

; n" a) A2 c% O$ E

        if(!is_writable(DT_ROOT.'/'.$this->savepath)) return $this->_('Error(24)'.$L['upload_unwritable']); % n2 n! l$ _5 [, a* c: e" P; ~5 I+ j

        if(!is_uploaded_file($this->file)) return $this->_('Error(25)'.$L['upload_failed']);

% ~4 y" k# F! ^/ \2 P         if(!move_uploaded_file($this->file, DT_ROOT.'/'.$this->saveto)) return $this->_('Error(26)'.$L['upload_failed']);

 

\5 B8 Z# _; t0 x; E" l6 _

        $this->image = $this->is_image();

        if(DT_CHMOD) @chmod(DT_ROOT.'/'.$this->saveto, DT_CHMOD);

8 E4 y* s. |/ X! B. r

        return true;

5 {4 E% @# _" ~6 d; B     }} 2 K7 M/ V( ^( L! ?+ }9 i2 R; Q0 `6 m

, u n: {: P5 y, U- ~% `' s5 Q

2 Z9 U7 U5 P" X! A" x" Z 先经过几个基本参数的检查，然后调用$this->is_allow()来进行安全检查 include/upload.class.php:72： 7 A) w; C& h. o# T/ [

4 S5 v% J6 c3 p' u* Q" p& D9 i

<?php

3 S" E9 g; |$ y Q

5 O. _) H5 r3 v& b7 }* @5 i6 J2 h     function is_allow() {

2 t9 G2 s0 R1 X% f& G

. N& w" w0 y, D& W/ D$ @; }         if(!$this->fileformat) return false;

        if(!preg_match("/^(".$this->fileformat.")$/i", $this->ext)) return false;

- X4 q' x5 M$ H# y4 U# c5 I

        if(preg_match("/^(php|phtml|php3|php4|jsp|exe|dll|cer|shtml|shtm|asp|asa|aspx|asax|ashx|cgi|fcgi|pl)$/i", $this->ext)) return false;

        return true;

    }

; `7 |# [8 ^. C/ ? h. D v

- F* ^4 ]3 o0 f9 X0 K) ]5 S; O 可以看到这里仅仅对$this->ext进行了检查，如前此时$this->ext为jpg，检查通过。

4 j6 d# u- ]% l# o4 Z4 o! I 接着会进行真正的保存。通过$this->set_savepath($this->savepath); $this->set_savename($this->savename);设置了$this->saveto，然后通过move_uploaded_file($this->file, DT_ROOT.'/'.$this->saveto)将file保存到$this->saveto ，注意此时的savepath、savename、saveto均以php为后缀，而$this->file实际指的是第二个jpg文件。

漏洞利用 & }$ t) Y* G% w/ S* o9 O7 a

综上，上传两个文件，其中第一个文件以php为结尾如1.php，用于设置后缀名为php；第二个文件为1.jpg，jpg用于绕过检测，其内容为php一句话木马(图片马)。

+ X* b3 P2 Y/ I& F0 W' |4 }   * B) \7 W' T3 w* U$ A" B

: T( F; e, t) e9 H: ?3 y 然后访问http://127.0.0.1/file/temp/avatar1.php 即可。其中1是自己的_userid

! p c2 m' {+ I' w 不过实际利用上会有一定的限制。 3 K# r4 z# K1 K& |

# s8 Y7 k4 s6 J1 K. `4 r, W2 n 第一点是destoon使用了伪静态规则，限制了file目录下php文件的执行。

6 \' [/ X3 o5 g A

1 |; F# T1 {8 I! N/ l  

' ]8 |: [4 n3 f* K9 x

! S/ \& z' z9 b2 `8 B 第二点是avatar.inc.php中在$upload->save()后，会再次对文件进行检查，然后重命名为xx.jpg：

& j. H$ N, C. @$ w* w& D

& M/ `* o$ r1 m- p6 { 省略...$img = array();$img[1] = $dir.'.jpg';$img[2] = $dir.'x48.jpg';$img[3] = $dir.'x20.jpg';$md5 = md5($_username);$dir = DT_ROOT.'/file/avatar/'.substr($md5, 0, 2).'/'.substr($md5, 2, 2).'/_'.$_username;$img[4] = $dir.'.jpg';$img[5] = $dir.'x48.jpg';$img[6] = $dir.'x20.jpg';file_copy($file, $img[1]);file_copy($file, $img[4]);省略...

8 K7 P/ ]5 |+ w% D6 Z7 V+ G! r, D

" q+ O S: e r- j0 p 因此要利用成功就需要条件竞争了。

5 G5 A. }6 L, U0 [$ e 补丁分析

7 J3 S1 z: h& B$ ]. P }; N% p1 u

. W% m: j2 ?. y# U  

在upload的一开始，就进行一次后缀名的检查。其中is_image如下：

$ Q5 J) I1 S" D- e function is_image($file) {    return preg_match("/^(jpg|jpeg|gif|png|bmp)$/i", file_ext($file));}

% G; M' J+ }! }; q4 y9 {$ r   $ t, R# ?! n& T" [* H- P3 M, B

: K: B% K5 ^' O, s. i

: N) ? _; ~9 m, U5 }1 X" v 在__construct()的foreach中使用了break，获取了第一个文件后就跳出循环。 $ S+ R6 ]9 A/ A! F4 ?) ~

8 F8 H7 r, _1 T% j7 t! W+ R$ p

6 T, ^4 }2 u% @( w7 `4 m' t: b 在is_allow()中增加对$this->savename的二次检查。

" _/ M! B. i- d5 { 最后

嘛，祝各位大师傅中秋快乐！ : P/ ?2 Z0 d7 i5 z

 

, S& s$ l T8 l# R* T