Destoon cms前台getwebshell

admin

% J7 n, o5 u [9 `% K; z

x2 e; }+ O5 q+ q 前言

8 c, {' M: ]9 L5 D! F; j9 ~

2018年9月21日，Destoon官方发布安全更新，修复了由用户“索马里的海贼”反馈的一个漏洞。

/ z2 ~1 ~" I l

  " k2 i- x- q7 _5 o) T% @

. {0 T; `5 J$ G; E 漏洞分析 5 j: ?- D4 d. B" ^6 B/ T

; R% R# m6 n3 n

根据更新消息可知漏洞发生在头像上传处。Destoon中处理头像上传的是 module/member/avatar.inc.php 文件。在会员中心处上传头像时抓包，部分内容如下：

' ]5 Q$ E1 a( e' Y( W2 @   8 I% Z+ J/ |5 J1 _- }

3 C9 q) O/ x# B7 G" b 对应着avatar.inc.php代码如下： 0 R, r+ Z, r9 ^. c. d* i2 k3 a/ F

; w; N B: o7 Y8 M1 T <?php defined('IN_DESTOON') or exit('Access Denied');login();require DT_ROOT.'/module/'.$module.'/common.inc.php';require DT_ROOT.'/include/post.func.php';$avatar = useravatar($_userid, 'large', 0, 2);switch($action) { 7 R- B# Q1 c# y8 F: A8 j

- o% H9 r, b4 ~ k

& K- H' z+ H' R! U7 E' K( O1 T     case 'upload':

& g* x- a Y. v$ p         if(!$_FILES['file']['size']) {

6 p4 F5 l/ u' E" q% a

            if($DT_PC) dheader('?action=html&reload='.$DT_TIME);

/ N8 ~4 O" z c" d

4 [5 o) J! n3 f0 ?+ j' x- p2 B$ s             exit('{"error":1,"message":"Error FILE"}'); % n8 I$ Q4 Y) i/ I

1 }1 A0 B) P* A$ X

        } 3 I* p0 W% q9 ] Z+ y% L

$ K$ b X' f5 X. M

9 B: Y. O, F8 D# |         require DT_ROOT.'/include/upload.class.php';

/ ?8 Y' E( Y! f M  

( c- m$ X- a* ?$ K4 ]! v* \- Y! F

* j' A; }& g0 Z: ?5 e( ~+ d+ ^; l5 E         $ext = file_ext($_FILES['file']['name']);

8 o. N0 P9 {! w* l% j8 k

2 x2 x7 r3 Y& j- n         $name = 'avatar'.$_userid.'.'.$ext;

9 v8 L- x; W* A; o/ q$ J

" c, n. W6 l- o" x/ v6 ^# w6 v         $file = DT_ROOT.'/file/temp/'.$name; W. v- R2 [( W( M) H* B& @0 M

 

$ l( G- Z, R0 A% ~6 y$ W         if(is_file($file)) file_del($file); 0 W( _8 O. }+ p5 j6 g$ P

        $upload = new upload($_FILES, 'file/temp/', $name, 'jpg|jpeg|gif|png');

 

& ^( p4 u" d* t1 d

9 z; n. d. m. L" W" n         $upload->adduserid = false;

 

9 Q4 k' ~. l% W% u         if($upload->save()) {

            ... 6 j: k* v) _# D8 G$ b

$ j- ]$ \$ f [& F& L# j% n

6 @. y' Z$ A- y+ R7 f& |         } else { 4 O% n$ `1 r N2 }, G- [: i

            ...

3 X- m0 G/ C8 w& V

: Y7 d; y. }! X( Z         } \3 ^1 U! o0 F- z

    break;

这里通过$_FILES['file']依次获取了上传文件扩展名$ext、保存临时文件名$name、保存临时文件完整路径$file变量。之后通过new upload();创立一个upload对象，等到$upload->save()时再将文件真正写入。

- }( U! k- s, H; {% ^

) f6 {' A, e9 A- Y upload对象构造函数如下，include/upload.class.php:25：

6 |- j v( t! r4 Y+ f- W <?phpclass upload {

    function __construct($_file, $savepath, $savename = '', $fileformat = '') { / X4 l' |3 b: a L/ \" @

/ D& M5 v" }4 |* ]2 M( [" X

        global $DT, $_userid; & D$ b+ t0 P9 g4 K2 p

        foreach($_file as $file) {

/ U. u t/ F$ X; T5 {$ t F$ E' O

            $this->file = $file['tmp_name']; ! F; ~ f3 p+ ]; L C

' U8 s6 J) s) P6 m( ^& h+ M             $this->file_name = $file['name'];

( |! z, ]) c, B' Y( R" r- g7 L5 [1 Q             $this->file_size = $file['size'];

3 J. k: k; e8 Q* b

            $this->file_type = $file['type'];

+ [& [$ L6 A; s* b             $this->file_error = $file['error']; 2 T0 i4 B. e- Y* V& }8 k9 U

% e7 |2 }3 T; A) p" G2 P

* F. H5 k8 c* c" ^   7 X. u: R* } h

        } 2 t/ q7 B0 F: W

        $this->userid = $_userid;

        $this->ext = file_ext($this->file_name);

8 K: e7 C' p, G' I

) v' E$ b0 {$ S         $this->fileformat = $fileformat ? $fileformat : $DT['uploadtype'];

3 | A m' @6 W         $this->maxsize = $DT['uploadsize'] ? $DT['uploadsize']*1024 : 2048*1024;

% s% z# A: `6 W; Z! _         $this->savepath = $savepath;

' W u) E ?6 Y( E. Q         $this->savename = $savename; : d8 |6 d. E8 `# K4 {/ K6 v R4 Y

9 I' g- i8 S$ S0 \     }} 9 X3 [7 ?/ _: r

这里通过foreach($_file as $file)来遍历初始化各项参数。而savepath、savename则是通过__construct($_file, $savepath, $savename = '', $fileformat = '')直接传入参数指定。 5 w- e! [; H: }* |' y5 e, D# t

; c" o+ ]( c9 B7 }. {" N4 D 因此考虑上传了两个文件，第一个文件名是1.php，第二个文件是1.jpg，只要构造合理的表单上传（参考：https://www.cnblogs.com/DeanChopper/p/4673577.html），则在avatar.inc.php中

4 b( o( r0 P( y5 y

8 l: f/ o; a* G' |' _+ x $ext = file_ext($_FILES['file']['name']); // `$ext`即为`php` $name = 'avatar'.$_userid.'.'.$ext; // $name 为 'avatar'.$_userid.'.'php'$file = DT_ROOT.'/file/temp/'.$name; // $file 即为 xx/xx/xx/xx.php 7 h: F8 Y& f3 w: @" ] f) C

9 t/ W3 s5 _3 E8 N& o4 @ 而在upload类中，由于多个文件上传，$this->file、$this->file_name、$this->file_type将foreach在第二次循环中被置为jpg文件。测试如下：

 

; w. i% w3 `" [

回到avatar.inc.php，当进行文件保存时调用$upload->save()，include/upload.class.php:50:

' ?+ r8 y$ ?, ~; F) h

0 Y6 m7 u& ^( S8 o; v# q3 } <?phpclass upload { . L0 l2 c- p$ @7 U- q( `

6 x6 h2 P/ ]5 k1 M, b& b

# y& u; U: L. d1 g; O/ C     function save() { 8 C1 N: l0 P6 t8 I

) R: S/ f! I1 h7 V7 [2 i

        include load('include.lang');

) `* K. Y8 P/ I; K- @3 ^

. V" t% l' V0 f, g# {         if($this->file_error) return $this->_('Error(21)'.$L['upload_failed'].' ('.$L['upload_error_'.$this->file_error].')');

2 v: z$ Y. n8 h2 k

' H. \% Z4 _+ O3 b1 n  

) d; z* X' }* a$ c: Q& w& D

        if($this->maxsize > 0 && $this->file_size > $this->maxsize) return $this->_('Error(22)'.$L['upload_size_limit'].' ('.intval($this->maxsize/1024).'Kb)'); 5 u& b5 N2 R7 n, k

! p, x( \* l- R3 j7 t0 O

; z: k: a% q2 s# ]   / V8 d. ]) Y7 ?; i9 M

        if(!$this->is_allow()) return $this->_('Error(23)'.$L['upload_not_allow']); 3 X" U0 ?# |2 x4 J- C2 M

 

9 G7 K" w; G/ j* F: f

        $this->set_savepath($this->savepath); 1 [1 X0 g: X" S

7 p' a8 e1 j, p f+ ^

        $this->set_savename($this->savename);

+ y7 c. e$ _' w3 T

 

& R) D0 N% q+ s         if(!is_writable(DT_ROOT.'/'.$this->savepath)) return $this->_('Error(24)'.$L['upload_unwritable']);

6 ]: u; `8 w. H         if(!is_uploaded_file($this->file)) return $this->_('Error(25)'.$L['upload_failed']);

6 D9 v& o* ?4 \) e ]7 T

        if(!move_uploaded_file($this->file, DT_ROOT.'/'.$this->saveto)) return $this->_('Error(26)'.$L['upload_failed']);

 

* R4 L, F3 A. X# P5 p

; j1 B; e& g @8 I- t. h         $this->image = $this->is_image(); / n& O1 T; ]1 l$ D& [" g7 O, v

; ~# |; }. Z; f( n& x. y5 N

        if(DT_CHMOD) @chmod(DT_ROOT.'/'.$this->saveto, DT_CHMOD); 2 t% O+ I4 G' ^3 a9 P7 r

2 a. V! P8 T' u' e3 p/ I

$ b% U( k) n1 T7 ]0 P" m         return true;

1 k3 s! k# y# t

    }}

$ B8 m! {" W3 M2 [4 W& D# M# f% [

先经过几个基本参数的检查，然后调用$this->is_allow()来进行安全检查 include/upload.class.php:72： " l4 p' g" P; N j

; `+ o5 I0 E; u; C" T2 C% L. p

* \# n) K: l6 r9 g; t- M: J <?php - O2 H5 E8 T( H/ f

& N4 \. V' J8 N! w% G; |

    function is_allow() { 9 A, k5 w: e4 y7 A, Y4 u7 y

. t d3 `' s$ y# ^% c8 I

        if(!$this->fileformat) return false; 9 N/ X3 N4 [% q5 ~

        if(!preg_match("/^(".$this->fileformat.")$/i", $this->ext)) return false;

* s1 \ z3 X6 `) b l8 b" K

/ p6 t" [! T T; I9 G/ L% x. W4 ~         if(preg_match("/^(php|phtml|php3|php4|jsp|exe|dll|cer|shtml|shtm|asp|asa|aspx|asax|ashx|cgi|fcgi|pl)$/i", $this->ext)) return false;

# _9 }! ~. v8 B

8 y2 I" T' ]% U! h         return true;

# a1 t! g/ i' J8 B# T

' q. X: k4 O0 U; K" @! N     } . S) N2 } R/ K0 ^$ t

: t: i3 e- c$ \ ]7 d 可以看到这里仅仅对$this->ext进行了检查，如前此时$this->ext为jpg，检查通过。

8 `* o$ p: ~( z

接着会进行真正的保存。通过$this->set_savepath($this->savepath); $this->set_savename($this->savename);设置了$this->saveto，然后通过move_uploaded_file($this->file, DT_ROOT.'/'.$this->saveto)将file保存到$this->saveto ，注意此时的savepath、savename、saveto均以php为后缀，而$this->file实际指的是第二个jpg文件。 , Z* k+ u' V3 ~0 S, T2 c

漏洞利用 ) a% D+ ?5 o7 ?0 A" g3 }

8 r5 I% R8 O( {

综上，上传两个文件，其中第一个文件以php为结尾如1.php，用于设置后缀名为php；第二个文件为1.jpg，jpg用于绕过检测，其内容为php一句话木马(图片马)。 : _, }) m% e7 T

! V: h3 e/ ^$ N4 f; ~5 |7 f* P( O1 V   & C1 L5 Y# X4 P3 d. y1 N: y

+ b: p4 t/ D4 M7 j- q" q 然后访问http://127.0.0.1/file/temp/avatar1.php 即可。其中1是自己的_userid

不过实际利用上会有一定的限制。 + u! L6 U( S8 y" J* g& t+ h) }% {

6 f+ t4 @/ n. P$ a 第一点是destoon使用了伪静态规则，限制了file目录下php文件的执行。

1 r& I2 d) z" m+ E1 L7 j   5 D& ^2 N9 h# O

* t& E! w; ?+ A* W 第二点是avatar.inc.php中在$upload->save()后，会再次对文件进行检查，然后重命名为xx.jpg：

7 q2 m$ f) L, Z. n2 h' O& [5 y 省略...$img = array();$img[1] = $dir.'.jpg';$img[2] = $dir.'x48.jpg';$img[3] = $dir.'x20.jpg';$md5 = md5($_username);$dir = DT_ROOT.'/file/avatar/'.substr($md5, 0, 2).'/'.substr($md5, 2, 2).'/_'.$_username;$img[4] = $dir.'.jpg';$img[5] = $dir.'x48.jpg';$img[6] = $dir.'x20.jpg';file_copy($file, $img[1]);file_copy($file, $img[4]);省略... 3 \% x! y9 |5 D8 \0 o$ \% k. O

因此要利用成功就需要条件竞争了。

3 r$ I& T; g" C- i5 O2 o

# U% N ~6 v; Z" n& ? 补丁分析 # r0 r" l7 X7 v8 ?

 

) w! ^: k3 L# }: T( m

在upload的一开始，就进行一次后缀名的检查。其中is_image如下： 2 n7 @! i& ^, A! E+ H: X

2 _7 J2 U9 o6 H H& a

function is_image($file) {    return preg_match("/^(jpg|jpeg|gif|png|bmp)$/i", file_ext($file));} ) i% Y0 X& d% m. X0 R& H3 ?$ l. R3 w

' g9 c4 i1 v; K* n5 ]( s# b8 f

4 o: h/ a, p s% x) q  

4 G* W& s$ i4 a+ b' w

0 M3 t9 I F1 ]5 C9 i5 L 在__construct()的foreach中使用了break，获取了第一个文件后就跳出循环。

, g$ O" g. {+ i8 ~

在is_allow()中增加对$this->savename的二次检查。 : H! X& F' ]& y& _* \: E; X9 E

最后 * F. `1 @, N; G9 {! |- u( m) \9 T

# Y6 a3 s9 A# d

! k# |' ~$ U7 Y4 \/ n9 V 嘛，祝各位大师傅中秋快乐！

" X+ k& H& ~" {, m8 l: m2 {9 c

  " q6 g/ {1 h. b3 p8 M. p8 ]

1 V4 M o6 w' Y