Destoon cms前台getwebshell

admin

! n2 `- t/ J" K! E0 y. k6 e

9 }" V/ h/ l8 m0 X% @+ S

" Q! O6 ~7 M ~

前言 ! Q) y3 L, v4 f5 O# J

- }- u" ^/ K) U. s* L

2018年9月21日，Destoon官方发布安全更新，修复了由用户“索马里的海贼”反馈的一个漏洞。

+ f6 ]- X* g+ T0 R. e1 V( ?   3 m$ a) t8 S. }6 V, m4 }5 m( |: _

4 }7 @; g; h7 N' o 漏洞分析 7 ~% r6 `8 u9 V7 P

, e! Q& j" I+ H: a4 k 根据更新消息可知漏洞发生在头像上传处。Destoon中处理头像上传的是 module/member/avatar.inc.php 文件。在会员中心处上传头像时抓包，部分内容如下： & ?% P6 {( R4 r; ^0 e7 W. ?( b+ Y

0 N+ w, I' i* _* u+ J

 

4 u# [3 j% S0 Z0 T4 ?) e

# P# |( g8 g, m' G7 t4 L& @ 对应着avatar.inc.php代码如下：

) g9 ]6 [& n/ c e1 z5 {

( o% R ^, x; J$ s2 n <?php defined('IN_DESTOON') or exit('Access Denied');login();require DT_ROOT.'/module/'.$module.'/common.inc.php';require DT_ROOT.'/include/post.func.php';$avatar = useravatar($_userid, 'large', 0, 2);switch($action) { 3 ?1 ~. e$ p6 C

/ z: u: }5 o$ |7 J8 e" q

9 A: y D0 ], e     case 'upload':

& n' v5 g3 L$ C

        if(!$_FILES['file']['size']) {

            if($DT_PC) dheader('?action=html&reload='.$DT_TIME); % W2 K2 K. \! [# O- f5 a9 P- H5 h3 u1 f

            exit('{"error":1,"message":"Error FILE"}');

* e( {, W# r. e$ \6 X         } ) x- z* I% U- ^& {% c

* i# I8 m+ B, B7 H         require DT_ROOT.'/include/upload.class.php';

  % T7 V# S2 I. D% |- s9 w, \9 j/ U

3 t r, J3 E; g* ]5 \

" {) B) _: T8 \0 g2 r4 A" G6 q         $ext = file_ext($_FILES['file']['name']); 6 A4 ?$ ~' L6 m9 W& D8 ~, ~

* d$ I' `& _' {         $name = 'avatar'.$_userid.'.'.$ext;

( |" h% T. I! ]

        $file = DT_ROOT.'/file/temp/'.$name; 8 @. W) M; y. H+ U* M4 f$ G8 l( d

 

9 P) }5 q8 A E: F6 u

        if(is_file($file)) file_del($file);

+ j; n8 l4 u! C

        $upload = new upload($_FILES, 'file/temp/', $name, 'jpg|jpeg|gif|png'); 8 t8 b% e0 W" R- d" F

  ' u& F$ F+ m8 C- n0 t( f

( f0 a9 b$ z: U Y# P2 Z& } S         $upload->adduserid = false; * V1 t" I: t- r+ ~* _

3 n# t& b1 i, K: A

$ n9 ?- z& ]! ?8 O   ! R2 V/ p# ]1 Y8 z* I. E& w

: e; J: W8 {. ?- R# {' C/ g+ l j2 L         if($upload->save()) {

1 y& h0 M2 }5 z& {

            ... . _2 K4 Z0 d L R

( `! w/ _+ `' f. ]9 T

: M- g4 G8 D: P) o" [7 v: r         } else {

( T8 S, I% U' A

" S8 A5 u" f7 M8 p) l; U1 r3 ?             ...

G+ j! U& R( X         }

2 q7 e' q2 T$ _+ j" U% B' |

1 g5 X- w& h! i     break; # C8 f- |9 x# Q) f6 p7 |

, c; ^) Q7 o' N) b3 [: [: g& T' G

3 R" Z5 o% E7 A A- _# r 这里通过$_FILES['file']依次获取了上传文件扩展名$ext、保存临时文件名$name、保存临时文件完整路径$file变量。之后通过new upload();创立一个upload对象，等到$upload->save()时再将文件真正写入。

5 q" w4 K! X: F6 N+ H ^

upload对象构造函数如下，include/upload.class.php:25： , y# `6 [) i& Z4 q

! F3 D8 n" v+ |2 I& Z: Q0 y' U <?phpclass upload {

; n* u0 L' S0 ]) w

7 M( m |1 K, U" M8 z: r. h     function __construct($_file, $savepath, $savename = '', $fileformat = '') { 4 n: L X% h+ d: E

) [% Z9 `' ?+ s0 O i

# N( S( @+ z! W0 O# b+ k         global $DT, $_userid; / }# C* T+ t' X" w2 s

7 `9 A9 N/ s: [: p" h' a

        foreach($_file as $file) { 6 c. N% V; l5 [# ~- \/ p

: S; D2 z5 ~+ A" e: h# e2 X

            $this->file = $file['tmp_name'];

M4 Q: O7 l5 V G2 R1 q             $this->file_name = $file['name']; ' G1 X- R5 {+ e- c

            $this->file_size = $file['size']; 9 \# U2 k% \4 f9 i* c

5 F0 ]2 v- ? W$ g

            $this->file_type = $file['type'];

: Q E4 B3 j+ \1 ^             $this->file_error = $file['error']; * ~. l0 M) c; x9 g* c! b

  ( { L" ]4 f* Z3 }- R h) m

+ S" w* t) V0 i) Q         }

8 n# N4 I& t( `7 w8 E+ r; j0 n

        $this->userid = $_userid;

1 R, C8 q, E3 p+ E

        $this->ext = file_ext($this->file_name); / ]# b' H! L4 X

& D9 [4 E" P- l9 q" a8 s% `

5 ?# p) j4 I- R, H2 z, E         $this->fileformat = $fileformat ? $fileformat : $DT['uploadtype']; & K: S3 X2 |( h1 V1 w; p

        $this->maxsize = $DT['uploadsize'] ? $DT['uploadsize']*1024 : 2048*1024;

|9 x* O, r; p, n

        $this->savepath = $savepath;

1 v! W t+ I1 a2 Q* A* {         $this->savename = $savename;

    }} . O" e; u: v2 Q. q1 k5 ?! F

! W+ R6 j0 z" _) ?; T

这里通过foreach($_file as $file)来遍历初始化各项参数。而savepath、savename则是通过__construct($_file, $savepath, $savename = '', $fileformat = '')直接传入参数指定。

1 o, T7 C# X; ]5 v8 Y' Z4 n# V

因此考虑上传了两个文件，第一个文件名是1.php，第二个文件是1.jpg，只要构造合理的表单上传（参考：https://www.cnblogs.com/DeanChopper/p/4673577.html），则在avatar.inc.php中 % D' x* @( l6 [6 e2 N3 a I/ q

$ext = file_ext($_FILES['file']['name']); // `$ext`即为`php` $name = 'avatar'.$_userid.'.'.$ext; // $name 为 'avatar'.$_userid.'.'php'$file = DT_ROOT.'/file/temp/'.$name; // $file 即为 xx/xx/xx/xx.php

" H. s$ G: t% _% y8 I

而在upload类中，由于多个文件上传，$this->file、$this->file_name、$this->file_type将foreach在第二次循环中被置为jpg文件。测试如下： / ^2 [+ O# C' _$ u$ |# b

% ^% d5 U1 I3 [$ z4 s) k1 X

  , G5 X* s" f) G- L& J, p% A

4 Y& [ G; R _+ e: g

& ~: B$ g4 R& I$ c( D. U$ _) o 回到avatar.inc.php，当进行文件保存时调用$upload->save()，include/upload.class.php:50: 4 M, `# G: Q0 ~

( n; y2 @" B; L- A9 t

<?phpclass upload { 7 k, p+ S' s6 O. B& [

    function save() { 9 d2 S1 C# O# z! s2 q

1 {8 A. \. `- P2 ]5 C* F3 P& I8 R% R         include load('include.lang');

- t* S& Q( t; g$ ^( o

$ t4 u) L$ w9 o2 G         if($this->file_error) return $this->_('Error(21)'.$L['upload_failed'].' ('.$L['upload_error_'.$this->file_error].')'); % s5 N$ p7 B6 K7 ?; K

, @: I5 f; ]/ ]5 @/ ]9 h! S

 

        if($this->maxsize > 0 && $this->file_size > $this->maxsize) return $this->_('Error(22)'.$L['upload_size_limit'].' ('.intval($this->maxsize/1024).'Kb)');

8 \, W! m) @8 I3 }2 e2 A- V

- e# ^ Z0 K! {2 t. f   5 T+ ~5 p7 D+ G2 q- U/ S7 \7 u& u

9 f! H/ f" ]* \

' O' c9 [% W3 y: ~9 q& z# ^3 V' j         if(!$this->is_allow()) return $this->_('Error(23)'.$L['upload_not_allow']); ' U2 w% A! b9 x6 v) [

3 X" \( \! `+ a  

, w- T; j5 c( t" B; S! O1 H

        $this->set_savepath($this->savepath);

$ F2 M& t3 U, z) x4 z         $this->set_savename($this->savename);

 

& t% e# n; x& D/ S- p; W- F4 E

: @0 S; \6 ^1 M3 V- _# G9 r         if(!is_writable(DT_ROOT.'/'.$this->savepath)) return $this->_('Error(24)'.$L['upload_unwritable']);

, K" [- h8 `9 U' p

' n( A9 r5 G3 N) M% B         if(!is_uploaded_file($this->file)) return $this->_('Error(25)'.$L['upload_failed']);

4 R# B- r7 H+ S3 g         if(!move_uploaded_file($this->file, DT_ROOT.'/'.$this->saveto)) return $this->_('Error(26)'.$L['upload_failed']);

' D, B, r2 c7 k$ e0 M  

$ @/ {$ G4 c1 f8 M& o* D         $this->image = $this->is_image(); ! `. `5 c' h* S1 \1 f5 O4 O4 e% p t7 w

6 i5 A: w+ ~) Y+ }+ u: @

        if(DT_CHMOD) @chmod(DT_ROOT.'/'.$this->saveto, DT_CHMOD);

0 g. A |$ k1 B) X# B/ X

2 R1 k1 y+ A( p2 _         return true; * e% j) Z8 ~# Z( h! n" q( r, K- t

% U/ j5 K& r5 j3 f. T0 I

; R. |! H3 ?3 m$ p/ _     }} : ~- Q- |3 a) o* N& R# z! B; L# u

) [: ]; m( v! Z; C, |4 f

) M% @4 q: K. N0 p( S- \- c& n3 s 先经过几个基本参数的检查，然后调用$this->is_allow()来进行安全检查 include/upload.class.php:72： 8 k5 ]' D3 V. b8 k* U7 y A

<?php

6 K. M; v# C- E3 u& {3 e     function is_allow() { 6 Y0 i+ W5 W1 R! n* N# a

7 V0 u! u# U6 `# {' q& T

3 K' s& t7 ]7 c5 r- X; e1 `         if(!$this->fileformat) return false; 3 I9 P1 l1 ^0 B' ~' y6 @& h

" B$ x, w: m h! S8 P0 [3 F s8 G         if(!preg_match("/^(".$this->fileformat.")$/i", $this->ext)) return false;

2 t# d) q2 L- F! h3 _         if(preg_match("/^(php|phtml|php3|php4|jsp|exe|dll|cer|shtml|shtm|asp|asa|aspx|asax|ashx|cgi|fcgi|pl)$/i", $this->ext)) return false; , B: u0 N0 j; ^" _ [; e

# R s; B) Y8 _) ^. E& j

        return true;

    }

. z! `% R" X( n8 o, \2 @ 可以看到这里仅仅对$this->ext进行了检查，如前此时$this->ext为jpg，检查通过。

* j; F! p7 O6 S, y1 D P

接着会进行真正的保存。通过$this->set_savepath($this->savepath); $this->set_savename($this->savename);设置了$this->saveto，然后通过move_uploaded_file($this->file, DT_ROOT.'/'.$this->saveto)将file保存到$this->saveto ，注意此时的savepath、savename、saveto均以php为后缀，而$this->file实际指的是第二个jpg文件。 5 A8 k5 g4 B9 _$ T% _

漏洞利用 * E X ~, m2 e

6 k i* V5 s/ J* ?! y1 U: S

综上，上传两个文件，其中第一个文件以php为结尾如1.php，用于设置后缀名为php；第二个文件为1.jpg，jpg用于绕过检测，其内容为php一句话木马(图片马)。

) G: {0 V8 M& J, t- d% t

 

然后访问http://127.0.0.1/file/temp/avatar1.php 即可。其中1是自己的_userid

4 o# B* @* R( C# M; u6 {8 K

: @" K0 Y. H( }! Z+ y 不过实际利用上会有一定的限制。

第一点是destoon使用了伪静态规则，限制了file目录下php文件的执行。 . u! V* X4 u" P

7 ~% T9 W/ J- X/ V   ' ^* `. G1 B4 d4 H, U q/ n9 k

8 w: c; L- ], e- ?

: y$ `# ^: X3 a6 k, W9 e: n 第二点是avatar.inc.php中在$upload->save()后，会再次对文件进行检查，然后重命名为xx.jpg：

省略...$img = array();$img[1] = $dir.'.jpg';$img[2] = $dir.'x48.jpg';$img[3] = $dir.'x20.jpg';$md5 = md5($_username);$dir = DT_ROOT.'/file/avatar/'.substr($md5, 0, 2).'/'.substr($md5, 2, 2).'/_'.$_username;$img[4] = $dir.'.jpg';$img[5] = $dir.'x48.jpg';$img[6] = $dir.'x20.jpg';file_copy($file, $img[1]);file_copy($file, $img[4]);省略... , m4 M9 J3 Q2 E1 \, N$ z

2 N6 ^7 q- M1 B" v( X 因此要利用成功就需要条件竞争了。 , K& a) q- h" d4 _6 W ^

5 z3 H8 U, L' T: E8 C

补丁分析

  " Q& G0 L% l% q+ ~, _5 |2 U

5 J- O, k4 r/ L# Q) g

在upload的一开始，就进行一次后缀名的检查。其中is_image如下：

function is_image($file) {    return preg_match("/^(jpg|jpeg|gif|png|bmp)$/i", file_ext($file));}

: m( w! z T$ ?' P. t  

) C' L7 O; x& P D8 M! |

3 f: f) b" }% Z n 在__construct()的foreach中使用了break，获取了第一个文件后就跳出循环。

& E0 R M8 a4 d% |2 T9 q 在is_allow()中增加对$this->savename的二次检查。

最后

9 N3 x: X! s* q% C# y! w

* M/ D3 X/ w5 c3 v2 O1 J6 b6 I 嘛，祝各位大师傅中秋快乐！

+ g; ~( Z) K8 u$ Q# M U   ; N: ~9 h4 }6 w; `9 V% H4 }- B

6 {* \) G/ C( w5 i- T0 u