Destoon cms前台getwebshell

admin

z% K2 i4 ^( M) _1 R x

( P( P6 a* F7 f2 {

, b8 n& o8 @/ z4 J+ t( I" u; M

前言 " i8 w) |5 e- M

% A/ @ u" Z/ z6 q

2018年9月21日，Destoon官方发布安全更新，修复了由用户“索马里的海贼”反馈的一个漏洞。 C: i+ F( _/ t$ T/ q5 s

" s2 t% n4 B3 P9 j3 U4 |

  h: i1 Q" r0 j4 q R1 X1 `# l

漏洞分析

- y! t; ~: P( e( l- A$ o

根据更新消息可知漏洞发生在头像上传处。Destoon中处理头像上传的是 module/member/avatar.inc.php 文件。在会员中心处上传头像时抓包，部分内容如下：

) C; c' T) K, v! U' ^  

- ]6 J- W: K% o; U7 T 对应着avatar.inc.php代码如下： o5 A# T8 O" s* s1 N2 `+ ~

/ F& Z$ p2 X9 y" t <?php defined('IN_DESTOON') or exit('Access Denied');login();require DT_ROOT.'/module/'.$module.'/common.inc.php';require DT_ROOT.'/include/post.func.php';$avatar = useravatar($_userid, 'large', 0, 2);switch($action) {

# T! X9 J1 [' K! N     case 'upload': - ]$ s! }$ ?4 _3 Z! j

        if(!$_FILES['file']['size']) {

9 h) M( ~7 E1 G0 t, f             if($DT_PC) dheader('?action=html&reload='.$DT_TIME); ! B0 \0 `- R6 s

- R: E! V5 t+ \6 z# {             exit('{"error":1,"message":"Error FILE"}'); / ]; J. S7 y. h" s8 C: t* `2 Y: C

4 U) h) E' p; e! g

. E8 f+ O( x* N; g, @4 t( ^' q         } ; ^3 ^1 _% @7 C

3 X2 K0 T0 h8 c& c/ ^' U

        require DT_ROOT.'/include/upload.class.php'; 1 ~/ U+ ^& w. C# n4 w

- B) R6 J5 k7 F# K

5 u0 d# Z+ q, Z8 C$ J  

! ?2 d, g8 t' S1 R

        $ext = file_ext($_FILES['file']['name']); ; Y$ @# `# u! b6 z7 E0 n

6 G- B+ V( G! C7 {& @: v

- h- Z; [" `+ X9 c2 p3 {         $name = 'avatar'.$_userid.'.'.$ext; " f. r( E$ V3 @% N% H. L

9 P8 A7 A6 u1 L" C1 ]

' n1 g0 o# e6 x; h4 d8 N         $file = DT_ROOT.'/file/temp/'.$name;

1 |/ ~- g) q6 f- X! u8 T, R

6 Q$ z7 Q5 r, x% w) j   ' p* D! K7 I- {) p8 M+ N

        if(is_file($file)) file_del($file);

! p/ ~+ I% s# h$ @

        $upload = new upload($_FILES, 'file/temp/', $name, 'jpg|jpeg|gif|png'); ! M. V% u D4 I7 D

9 e0 E) N, E2 O. z# z$ G   / x, t* {: M3 D

        $upload->adduserid = false;

# V$ l* B: Y& I  

        if($upload->save()) { / k2 _3 w, N& w( J% H } | D

/ b9 A0 S* e8 d! l2 V! t

+ `" D' s, ?7 T) m( f0 A, \& N             ... 8 T& E& v6 l h" g$ c" `6 e; X8 k

        } else {

% `4 |% \! Y* g# n: e5 i5 Z             ...

+ |1 m; B% N# l* T0 y$ V

        } 5 o, d; Z. L1 ^' g2 \+ Z& W

    break;

2 u' g& _/ }* y' v! S$ P

这里通过$_FILES['file']依次获取了上传文件扩展名$ext、保存临时文件名$name、保存临时文件完整路径$file变量。之后通过new upload();创立一个upload对象，等到$upload->save()时再将文件真正写入。

" M! i, R- }; d0 Y) s6 F7 \

8 Z: W- j, t2 w: ]: N% B upload对象构造函数如下，include/upload.class.php:25： ! m& o# x; L/ T; n, {4 K& L

, b% @1 b |7 ^( n7 [% L

W+ s$ N' F7 @- {, n1 h4 _+ y <?phpclass upload { ; Z2 |5 J% l8 s4 o4 _' W

7 x; w5 K$ i+ w7 {     function __construct($_file, $savepath, $savename = '', $fileformat = '') { , {8 N- \# |& i8 F

' K |- |- u) b1 C# ^         global $DT, $_userid; g# K: I1 [3 I( p6 u$ ]

: n( `3 D' F w* R4 f

        foreach($_file as $file) { 3 g- }8 d* U3 q5 ?% t

% I& e# R% B3 C

            $this->file = $file['tmp_name']; 5 z' H) A J/ b5 K

            $this->file_name = $file['name']; & z+ o& U% ~7 c1 o

) W! R- d1 I( ]/ _+ t1 c! [' q% w

            $this->file_size = $file['size']; / Y1 X4 e2 f; B* x

" q* e% R C, h; Q             $this->file_type = $file['type']; ) r2 _: U2 F) R% {" i, u5 P

) \0 t5 F# R7 ~' I% |# v# t

8 Q) [$ {; a* p3 A. m8 P             $this->file_error = $file['error']; W+ p, U8 d Y

) [; [2 L- j T* y   8 t- L0 r8 {! Q! \/ p

8 J$ V) h# J$ P/ P8 a7 c6 |

        } 4 N! U3 X8 j3 R& D/ U6 h

- f5 |2 J" s8 b- D

        $this->userid = $_userid; & j& L4 e4 Y) K K5 _# j* ^2 o) x

?! A& j5 ~& b& I

- O, x, m+ j) y. _, X+ R2 H8 ~         $this->ext = file_ext($this->file_name);

; w% G% L7 r% O4 z4 z         $this->fileformat = $fileformat ? $fileformat : $DT['uploadtype'];

4 @& I* @! _- o, V         $this->maxsize = $DT['uploadsize'] ? $DT['uploadsize']*1024 : 2048*1024;

" V$ w) `) f7 G8 Q/ Z

        $this->savepath = $savepath; : A Q/ {& o/ P0 h& J

4 Y9 Y- m$ k- i7 s }

        $this->savename = $savename;

' c9 \2 k' R7 ~! x

    }}

% D" `$ Q! H$ k- B( T8 M% o3 r' @

这里通过foreach($_file as $file)来遍历初始化各项参数。而savepath、savename则是通过__construct($_file, $savepath, $savename = '', $fileformat = '')直接传入参数指定。 , w/ p& u0 x6 ?( \6 Q4 j

因此考虑上传了两个文件，第一个文件名是1.php，第二个文件是1.jpg，只要构造合理的表单上传（参考：https://www.cnblogs.com/DeanChopper/p/4673577.html），则在avatar.inc.php中

# y- ]; o& ^& I# n

! |+ |9 D! D. V' A$ R$ p$ X $ext = file_ext($_FILES['file']['name']); // `$ext`即为`php` $name = 'avatar'.$_userid.'.'.$ext; // $name 为 'avatar'.$_userid.'.'php'$file = DT_ROOT.'/file/temp/'.$name; // $file 即为 xx/xx/xx/xx.php

2 s2 _: M6 D w+ l* p/ z! d 而在upload类中，由于多个文件上传，$this->file、$this->file_name、$this->file_type将foreach在第二次循环中被置为jpg文件。测试如下：

, r* B( k; R C- ]& d

  3 c* D: i" H3 d1 g4 e3 E0 R2 K) u

回到avatar.inc.php，当进行文件保存时调用$upload->save()，include/upload.class.php:50: ! J1 |3 @: A6 W# Q2 @3 U5 b

<?phpclass upload { / ]& F: @" |" l$ `9 U/ r! a0 A

8 L) ]" M: C1 z. c1 j. Y, ?! E

    function save() { " X9 Y( h; c) n+ O3 s( J

9 A7 l5 {- N! F9 k( r* a6 j9 L: r9 h

        include load('include.lang'); ( b* L% u, \; K( }4 Z4 O m

! ~1 g- J6 ^( ^* {0 K$ @8 P6 h

: L+ R6 p5 x; {% v e D% x6 @0 S. ^         if($this->file_error) return $this->_('Error(21)'.$L['upload_failed'].' ('.$L['upload_error_'.$this->file_error].')');

' v, R* u9 j7 v$ G- p0 J

7 |/ m5 o1 A5 s, ^6 A" x+ Y# [  

/ |- `: j5 y4 m( k& y

        if($this->maxsize > 0 && $this->file_size > $this->maxsize) return $this->_('Error(22)'.$L['upload_size_limit'].' ('.intval($this->maxsize/1024).'Kb)');

4 D9 o' i% o% l+ M, V+ ^  

        if(!$this->is_allow()) return $this->_('Error(23)'.$L['upload_not_allow']);

 

        $this->set_savepath($this->savepath); 2 J- ~+ |# d- X

/ g: b: b; B. a$ T$ S0 l0 Z. X

6 l. U2 a V8 K5 G         $this->set_savename($this->savename); " ]+ j* ]" z+ }* U3 w; B8 ]

  + l! i( x* e T/ z! O: ~. ^

4 [; s" q0 S, j' G2 J( k, _

        if(!is_writable(DT_ROOT.'/'.$this->savepath)) return $this->_('Error(24)'.$L['upload_unwritable']); 5 N# T5 e& D. R( Z' r4 Y! C

        if(!is_uploaded_file($this->file)) return $this->_('Error(25)'.$L['upload_failed']);

4 L$ ?, s" R8 `% O- z- B9 q

* L' g0 [( M' F! ]         if(!move_uploaded_file($this->file, DT_ROOT.'/'.$this->saveto)) return $this->_('Error(26)'.$L['upload_failed']);

 

+ [/ u8 p$ w' j3 i: l- W; `9 D; e6 a         $this->image = $this->is_image(); ; w: ^2 q0 q5 J6 }+ R

( R2 I: a6 V8 {# @6 A p' o; F: V% z

        if(DT_CHMOD) @chmod(DT_ROOT.'/'.$this->saveto, DT_CHMOD); , ^6 [! j+ n& [. U; I0 r

        return true; 9 I, V# x: F; | Y Z

    }} ) O' E" Y6 q6 c

( H2 D( B8 W% K 先经过几个基本参数的检查，然后调用$this->is_allow()来进行安全检查 include/upload.class.php:72：

& ^: W0 P6 U- \1 I) x$ z/ S2 v <?php 1 N, z2 G1 o% C4 i

& ^& u7 Z# L6 S1 M( i+ \     function is_allow() { 1 `, b& J, ]& W8 e* i' U+ q8 b$ k

, ~1 `/ K2 \5 I3 D5 w, x         if(!$this->fileformat) return false; $ v$ N/ {; x" z7 \6 N; R

        if(!preg_match("/^(".$this->fileformat.")$/i", $this->ext)) return false;

; u& u8 [. H2 D. h! l

+ |( L( i/ ?: x& u% ~         if(preg_match("/^(php|phtml|php3|php4|jsp|exe|dll|cer|shtml|shtm|asp|asa|aspx|asax|ashx|cgi|fcgi|pl)$/i", $this->ext)) return false; 0 N, d, H( x8 ^6 R

        return true;

    }

可以看到这里仅仅对$this->ext进行了检查，如前此时$this->ext为jpg，检查通过。

% @$ M( [5 z! p! B! [

1 U2 ]. y; W3 t0 R% F. a4 s 接着会进行真正的保存。通过$this->set_savepath($this->savepath); $this->set_savename($this->savename);设置了$this->saveto，然后通过move_uploaded_file($this->file, DT_ROOT.'/'.$this->saveto)将file保存到$this->saveto ，注意此时的savepath、savename、saveto均以php为后缀，而$this->file实际指的是第二个jpg文件。 4 t Y4 c8 C/ C2 O# |6 r4 Y5 F9 k

- g. \ A$ B/ k0 k A 漏洞利用

\6 }& u: d; B; P# j' [

综上，上传两个文件，其中第一个文件以php为结尾如1.php，用于设置后缀名为php；第二个文件为1.jpg，jpg用于绕过检测，其内容为php一句话木马(图片马)。 : N. g5 W* c" I7 G/ Q

1 S0 t0 B" Q( [2 T" s P2 t! h

 

* z" v' n8 d- ]' z5 w

然后访问http://127.0.0.1/file/temp/avatar1.php 即可。其中1是自己的_userid ( y) M* N0 W) L5 L" _3 S; K

" [1 [* u+ [* I1 Y0 g J* W

& y( N+ c0 o: _: M9 a2 ` 不过实际利用上会有一定的限制。 , N/ x8 C7 V( N' g2 v

" F: U" H! \1 c" o

第一点是destoon使用了伪静态规则，限制了file目录下php文件的执行。

+ i+ M; K# s) f, A( E# B. M

' T$ u! M z& m6 W  

第二点是avatar.inc.php中在$upload->save()后，会再次对文件进行检查，然后重命名为xx.jpg： h. o3 A g* K5 m; S

. [4 v$ ]: b3 ^' x i4 e

/ X) b, ~" z3 m9 j* e7 J! T. X 省略...$img = array();$img[1] = $dir.'.jpg';$img[2] = $dir.'x48.jpg';$img[3] = $dir.'x20.jpg';$md5 = md5($_username);$dir = DT_ROOT.'/file/avatar/'.substr($md5, 0, 2).'/'.substr($md5, 2, 2).'/_'.$_username;$img[4] = $dir.'.jpg';$img[5] = $dir.'x48.jpg';$img[6] = $dir.'x20.jpg';file_copy($file, $img[1]);file_copy($file, $img[4]);省略... % ~9 h7 K/ I3 r t6 z8 N; x3 Z

! x0 Q* |" _& q3 ~" C

因此要利用成功就需要条件竞争了。 7 V! i' f& f8 E: I. H

, _5 [2 j0 x0 g% f9 E 补丁分析

4 _4 M0 L! K, h9 G  

在upload的一开始，就进行一次后缀名的检查。其中is_image如下：

4 z2 {0 y6 z7 n1 ?: P9 G( l function is_image($file) {    return preg_match("/^(jpg|jpeg|gif|png|bmp)$/i", file_ext($file));}

# g [2 L( O; Q& l9 |& T

  ( v% u: k" R, |2 _4 C6 o

在__construct()的foreach中使用了break，获取了第一个文件后就跳出循环。 . a6 g- l" q, D: a4 c. s7 s9 _. ~/ [. P

$ S3 ]4 `; a6 @ n 在is_allow()中增加对$this->savename的二次检查。 $ W0 d4 g) J$ j3 b

& H M& P/ e1 }0 Y5 [

最后 % Q1 `* r9 O' R' u U+ d

嘛，祝各位大师傅中秋快乐！

z9 d; r) m: s6 `8 S1 j