Destoon cms前台getwebshell

admin

) t) g1 U/ C* R* O& t# z* i

前言 / g1 ]; z# S7 ?) U F7 R+ E1 V

! H: x) I7 e6 D m 2018年9月21日，Destoon官方发布安全更新，修复了由用户“索马里的海贼”反馈的一个漏洞。

2 _: e: c& H% k% J) f

7 V! R# c, W! _! H  

漏洞分析 ( y5 S% K! V# K0 E ?

' [& b A6 X( \

根据更新消息可知漏洞发生在头像上传处。Destoon中处理头像上传的是 module/member/avatar.inc.php 文件。在会员中心处上传头像时抓包，部分内容如下：

 

2 M# {6 I3 q* M8 Z% q 对应着avatar.inc.php代码如下： 2 B4 m/ {# t" g9 {- q* n

, H/ q) G: z- ?' @* g

# N0 ]9 |: @0 v <?php defined('IN_DESTOON') or exit('Access Denied');login();require DT_ROOT.'/module/'.$module.'/common.inc.php';require DT_ROOT.'/include/post.func.php';$avatar = useravatar($_userid, 'large', 0, 2);switch($action) { : Y3 F# h+ U. g2 a" @/ H

0 ^3 x# E5 X [8 K. Y     case 'upload': 7 X' g( z* O/ Z% a5 Q+ x

2 r4 v/ M- j! _7 y. e6 o9 z

% a% K: a& U: c. Z# g E! Q6 X" K1 S         if(!$_FILES['file']['size']) { k2 P% b! G! y( @, X" c; v

. n4 e r$ V8 v- e l. T6 ?8 \

2 {/ G1 A5 ^3 _" C# y; p             if($DT_PC) dheader('?action=html&reload='.$DT_TIME); ' H/ i& k1 R: q/ Y5 }& g [( n

- [- o1 D$ f+ X' }

            exit('{"error":1,"message":"Error FILE"}');

& e- U$ L: K8 h( Q* Q) w

        } ; k; M; Q1 k, R7 K! s

4 f8 p) U+ E5 \3 i

        require DT_ROOT.'/include/upload.class.php';

e% B3 Q, Y8 ~

  5 A: v0 u O7 [, p

9 b6 x+ C. F7 Z0 R/ p

9 m7 q$ ]7 a8 L) N$ w# ^& h$ s         $ext = file_ext($_FILES['file']['name']); ' a) {% R0 o% e o9 K

        $name = 'avatar'.$_userid.'.'.$ext; 6 d0 n9 i! d4 |4 X; Q/ i3 m2 x

        $file = DT_ROOT.'/file/temp/'.$name; " }: p; G4 v7 V

! c2 x+ o- e* s4 V   4 @$ j% V+ v/ Y1 k

8 U+ O* N9 _- X A0 b- j         if(is_file($file)) file_del($file); 1 o, O+ j8 L( S7 l

; K' ?. P' a6 ?" k- |+ E! ]

        $upload = new upload($_FILES, 'file/temp/', $name, 'jpg|jpeg|gif|png');

2 |5 L. J% ]+ ]9 i! B   9 G" i$ r0 L/ X5 a5 z8 c% u

; N/ X& j9 m1 {# T' K. c7 d

        $upload->adduserid = false;

 

        if($upload->save()) {

/ j- }" _4 j+ j1 V& ^

. C, u3 e8 f8 l* F             ...

7 z1 n& [3 Q& v         } else { K ~, ?, t$ C& x! X$ C4 q" j7 O

            ... 1 e4 t& t, O% ~6 P# o

        } % X3 E+ T% r. [9 g, |8 k# M+ } R

2 B4 \3 m# b3 }. b* W1 A0 R, L

    break;

" s- i% _, m6 [5 q/ h# `3 b

这里通过$_FILES['file']依次获取了上传文件扩展名$ext、保存临时文件名$name、保存临时文件完整路径$file变量。之后通过new upload();创立一个upload对象，等到$upload->save()时再将文件真正写入。

/ V2 E0 C3 q, {& T

) w+ h, C5 d8 D$ @) ^ upload对象构造函数如下，include/upload.class.php:25： 1 T0 |0 X6 b% Q D0 z# q$ v2 `

U v Y1 L) f2 B <?phpclass upload { + J% c8 n I9 ~9 O6 H) F1 k! y

2 E$ N% Q' r* E

* S/ w4 p8 i/ o* { F0 n' F& P     function __construct($_file, $savepath, $savename = '', $fileformat = '') {

- \8 g0 d) O+ F+ G# I" [

1 x) @" _+ t7 e! t3 s         global $DT, $_userid;

! b, y. _# x+ G) h4 b" { [7 B

& n9 Q; B8 l% v         foreach($_file as $file) {

            $this->file = $file['tmp_name'];

9 e/ H2 F! B2 K5 U# i             $this->file_name = $file['name']; 8 l# ?3 e! p! P1 R9 P8 V$ c4 g, T

            $this->file_size = $file['size']; , M9 u5 W z8 s% j* B

( S/ W6 o1 e# f2 U2 N

) i5 _3 I0 O) H7 ?) | M. f3 A8 L             $this->file_type = $file['type'];

$ V* @ v8 ^9 f: [

            $this->file_error = $file['error']; ) _3 E1 S# `4 A. l

: _6 g# v4 `. }9 p# X7 z: q   + R: ]- S' ]* Y3 e& r2 z

- M; E2 K7 p, @7 [' S

5 Q5 Z! a' J( m- ^+ ?         } $ }9 r9 X! |' B# e9 b$ R

( ~* s: H1 C c5 ?! B

& `$ w8 X" [4 ]5 T+ b3 s         $this->userid = $_userid; : T& \+ Y7 u* v" M9 w1 `2 t

& M2 v( a7 u( ]" Y7 U" x         $this->ext = file_ext($this->file_name);

# E! z' K/ l4 v; r' q; {5 T& s$ W

        $this->fileformat = $fileformat ? $fileformat : $DT['uploadtype'];

. A6 D+ w* D1 Y         $this->maxsize = $DT['uploadsize'] ? $DT['uploadsize']*1024 : 2048*1024; V2 ~6 p d6 k4 g2 \1 K% D

        $this->savepath = $savepath; 3 J8 I; L2 U9 l/ r' x& O

. t4 b6 X5 L% t. h3 o% N2 m8 {

        $this->savename = $savename;

7 P, W8 Y2 U& G% o' o9 G. p6 X

    }} % y% \ a/ n4 b7 U% G9 A9 x

这里通过foreach($_file as $file)来遍历初始化各项参数。而savepath、savename则是通过__construct($_file, $savepath, $savename = '', $fileformat = '')直接传入参数指定。

. t; Y/ g1 d O( B

因此考虑上传了两个文件，第一个文件名是1.php，第二个文件是1.jpg，只要构造合理的表单上传（参考：https://www.cnblogs.com/DeanChopper/p/4673577.html），则在avatar.inc.php中

- }" g- h2 U F $ext = file_ext($_FILES['file']['name']); // `$ext`即为`php` $name = 'avatar'.$_userid.'.'.$ext; // $name 为 'avatar'.$_userid.'.'php'$file = DT_ROOT.'/file/temp/'.$name; // $file 即为 xx/xx/xx/xx.php

! v) x# H- M1 A! K

: m! k( H, ^# r1 r: y2 n& a 而在upload类中，由于多个文件上传，$this->file、$this->file_name、$this->file_type将foreach在第二次循环中被置为jpg文件。测试如下：

 

1 z6 b, ?6 ]& a1 ~

6 E. @% {$ k' Y& s6 d7 v9 K$ g$ f 回到avatar.inc.php，当进行文件保存时调用$upload->save()，include/upload.class.php:50:

( ^4 E2 J! k t1 X

<?phpclass upload {

. r5 H3 I5 T. K; P

- M8 ]6 J( k/ z1 j- g# N+ s     function save() {

& d5 s* G0 i1 |4 `' @

        include load('include.lang');

        if($this->file_error) return $this->_('Error(21)'.$L['upload_failed'].' ('.$L['upload_error_'.$this->file_error].')'); 1 u) K& A! \* M& j( }

  - D$ b" n$ h9 f4 p5 i; _% j- |

4 A1 e/ C a* V) u" W/ @4 L

        if($this->maxsize > 0 && $this->file_size > $this->maxsize) return $this->_('Error(22)'.$L['upload_size_limit'].' ('.intval($this->maxsize/1024).'Kb)'); 7 k b n0 p* W4 P) v

( v5 S4 a5 ~+ q5 N9 ], P1 A) K   . i( r9 p4 g( O* `( F

# X2 b5 @+ [" M0 G" V5 \

        if(!$this->is_allow()) return $this->_('Error(23)'.$L['upload_not_allow']);

  " E: `; j0 C0 i* o

7 @3 m/ }9 ?2 G+ k5 ^

        $this->set_savepath($this->savepath); 0 X( a+ p+ ^( I) a( T# W% z- u

+ n- O) U; n* N4 v7 u

        $this->set_savename($this->savename);

, p6 n" `' ^. j+ A! B* ~ Y  

$ X) J5 I% d( x' l6 t- M# ?3 }

8 R6 l- @ i3 H5 b         if(!is_writable(DT_ROOT.'/'.$this->savepath)) return $this->_('Error(24)'.$L['upload_unwritable']);

6 _2 I1 J- P6 W9 N7 ?

% B9 ?+ r$ X) d, Z4 p4 I' u6 Y: |# j         if(!is_uploaded_file($this->file)) return $this->_('Error(25)'.$L['upload_failed']);

) d) r2 z8 A) u9 L" p

        if(!move_uploaded_file($this->file, DT_ROOT.'/'.$this->saveto)) return $this->_('Error(26)'.$L['upload_failed']);

  & c Q6 t( X, V" j( t- J. w! ]

( E% C9 M/ _. D2 N/ H% w

8 h. m1 _$ n, p$ C! G         $this->image = $this->is_image(); ) S3 h! e# Y8 |! |, i2 A

        if(DT_CHMOD) @chmod(DT_ROOT.'/'.$this->saveto, DT_CHMOD); ) a% }. J6 ?6 X! f! Q/ b! N

        return true; ( d$ D6 t3 i) G' b0 w5 B) Q( b( z

    }}

先经过几个基本参数的检查，然后调用$this->is_allow()来进行安全检查 include/upload.class.php:72： # | x* r6 a+ a3 k

, s2 O% ^9 O0 ]% Z" ] <?php 3 [: i% f2 q6 P- P; l. ]! D

3 V, M/ l: e# i0 V3 ?" U     function is_allow() {

. O/ L8 _0 ^0 {/ h n* S# ~4 c" S         if(!$this->fileformat) return false; ' \) j- Q+ r5 o7 V- _

/ Z" u4 T8 t* ]# b$ `         if(!preg_match("/^(".$this->fileformat.")$/i", $this->ext)) return false; . h7 x8 i' i/ N8 e$ x

9 d D" I" G( n6 T" x# V

W( I* g0 T7 R- y, d9 a' @         if(preg_match("/^(php|phtml|php3|php4|jsp|exe|dll|cer|shtml|shtm|asp|asa|aspx|asax|ashx|cgi|fcgi|pl)$/i", $this->ext)) return false; 8 z, R( q- [2 S

7 O% G! y8 ^: n% I

        return true;

i# S: b, g6 R I7 P

( ~, e( O+ B: j% P- ?, d% N     }

* Z( q' |- a7 r5 d4 Y0 t( j/ {

" g( _8 T( X" Z5 b0 i8 s- u5 X, E% ^ 可以看到这里仅仅对$this->ext进行了检查，如前此时$this->ext为jpg，检查通过。

0 J5 ]4 C3 g6 j 接着会进行真正的保存。通过$this->set_savepath($this->savepath); $this->set_savename($this->savename);设置了$this->saveto，然后通过move_uploaded_file($this->file, DT_ROOT.'/'.$this->saveto)将file保存到$this->saveto ，注意此时的savepath、savename、saveto均以php为后缀，而$this->file实际指的是第二个jpg文件。

7 |( o, \; }* n* N 漏洞利用 ! \( i9 X o: Y& |0 L& ^

( F: |( \! `9 f# h) m 综上，上传两个文件，其中第一个文件以php为结尾如1.php，用于设置后缀名为php；第二个文件为1.jpg，jpg用于绕过检测，其内容为php一句话木马(图片马)。

~6 i! R) m$ ]9 v$ @  

然后访问http://127.0.0.1/file/temp/avatar1.php 即可。其中1是自己的_userid

9 b8 O& `; R' p 不过实际利用上会有一定的限制。 , ^2 X1 n' S& r# O

! S8 v; F# m9 `

7 C2 K8 L& f" B& u: A: x: ~/ J 第一点是destoon使用了伪静态规则，限制了file目录下php文件的执行。

* E2 y: t; _' W# c  

- x% B# W/ ?9 a! f9 |

; k& b! a8 {9 U+ ], [) p 第二点是avatar.inc.php中在$upload->save()后，会再次对文件进行检查，然后重命名为xx.jpg：

+ z) h. @9 u7 A5 M

省略...$img = array();$img[1] = $dir.'.jpg';$img[2] = $dir.'x48.jpg';$img[3] = $dir.'x20.jpg';$md5 = md5($_username);$dir = DT_ROOT.'/file/avatar/'.substr($md5, 0, 2).'/'.substr($md5, 2, 2).'/_'.$_username;$img[4] = $dir.'.jpg';$img[5] = $dir.'x48.jpg';$img[6] = $dir.'x20.jpg';file_copy($file, $img[1]);file_copy($file, $img[4]);省略... + ~/ [5 k7 c6 I" @

因此要利用成功就需要条件竞争了。

# z H) q; y( h: K7 b

补丁分析

5 k2 ^: }2 H6 ]; ^. Y  

在upload的一开始，就进行一次后缀名的检查。其中is_image如下：

function is_image($file) {    return preg_match("/^(jpg|jpeg|gif|png|bmp)$/i", file_ext($file));}

  " R1 H9 N# ` F# O! b2 u, J

8 ?& o2 s$ t4 G

在__construct()的foreach中使用了break，获取了第一个文件后就跳出循环。 ) u6 s% Z! X: t) c% ?

在is_allow()中增加对$this->savename的二次检查。 & [* G& R; y% E: d0 o

最后

/ }2 v3 L/ @$ s* ?: B

2 \0 J: }& B( n, q3 [. ] n2 {' T: T 嘛，祝各位大师傅中秋快乐！