Destoon cms前台getwebshell

admin

8 v$ ^- L2 Z$ E" W 前言

; L0 }# J. G4 c; ~ 2018年9月21日，Destoon官方发布安全更新，修复了由用户“索马里的海贼”反馈的一个漏洞。

/ R/ G/ n) C" e

 

) S# T9 q) T) H# U: L8 Z

+ e" S& a4 `/ i1 d& l" @9 G 漏洞分析 5 [* `- _8 ?$ F: G4 Q

/ [1 m& o" F P0 r0 T1 C/ } 根据更新消息可知漏洞发生在头像上传处。Destoon中处理头像上传的是 module/member/avatar.inc.php 文件。在会员中心处上传头像时抓包，部分内容如下： 3 y$ O* }6 D5 M% v4 y4 \

0 [+ ^! F4 F, L d3 g3 `* Q8 n

 

6 Q: E$ u1 w0 t. Y+ v/ q/ j 对应着avatar.inc.php代码如下：

<?php defined('IN_DESTOON') or exit('Access Denied');login();require DT_ROOT.'/module/'.$module.'/common.inc.php';require DT_ROOT.'/include/post.func.php';$avatar = useravatar($_userid, 'large', 0, 2);switch($action) { % T# O/ b' m* u1 `& o) ]5 H

    case 'upload':

9 c& S5 B9 Y1 j3 e4 M         if(!$_FILES['file']['size']) {

' _+ b# F. o" V0 v! p3 N

            if($DT_PC) dheader('?action=html&reload='.$DT_TIME); & R( M+ @: I) F

; ~( n% u2 i6 ^

+ _" u% @- t0 P             exit('{"error":1,"message":"Error FILE"}'); # ]" b3 w, m0 x) l& r4 P

7 } C* G i4 e$ N/ {& g4 T

        }

8 @* k9 W) G5 \ E9 J

2 n) A0 F" ]% Z8 f         require DT_ROOT.'/include/upload.class.php';

/ O! U3 u$ m4 j; Z! ]2 V# U

  ; N* X' V0 Q" Z6 @4 G

        $ext = file_ext($_FILES['file']['name']);

4 ^" y6 V% s& B8 j3 K- A

        $name = 'avatar'.$_userid.'.'.$ext; 0 u8 [! g# C1 X, f+ G

9 s& m5 Q& f7 G) G7 Y2 }

        $file = DT_ROOT.'/file/temp/'.$name; ; |, g2 [5 T$ p0 D/ b; f' _, y

  9 x3 d) v3 Z) Q, B# q

6 ~8 Q& Z2 P' s0 W         if(is_file($file)) file_del($file); # t+ b" q) T8 ?9 P3 H

2 Z0 W! X C, ]: E# o         $upload = new upload($_FILES, 'file/temp/', $name, 'jpg|jpeg|gif|png');

. J6 L; @& _0 k* k

7 }4 u2 j' i8 z9 H- a- f6 A- r4 ?' \  

$ _6 r" P& ?! \( N

, \! K4 J& A. g1 c q7 x$ G8 v         $upload->adduserid = false; ; e7 J2 O$ n: H8 t6 D6 b

  # J& g A4 v$ q: ?

- _! X q6 \/ @         if($upload->save()) {

5 ], [. F- A! ?: _" c! D# D e. s0 _             ...

        } else {

( n- B. y5 ?5 s) O- ?) I: |0 \+ F

            ... ( t9 o, ~9 D0 A) e

        }

+ |& @ G+ p: ~     break; # I" z! T L+ R h# _

3 ~$ w+ r$ n7 P# y+ l 这里通过$_FILES['file']依次获取了上传文件扩展名$ext、保存临时文件名$name、保存临时文件完整路径$file变量。之后通过new upload();创立一个upload对象，等到$upload->save()时再将文件真正写入。

; ^+ E* x) P" g

4 L0 B, j) m' d' \ upload对象构造函数如下，include/upload.class.php:25：

<?phpclass upload { P, ^$ o% S) N9 j

+ u$ Z5 A1 X1 h% u     function __construct($_file, $savepath, $savename = '', $fileformat = '') {

# S9 V* {, h5 J: p' d. ~: l4 i3 a

8 R' Y; I I3 S' a& [2 b( ~) V         global $DT, $_userid;

        foreach($_file as $file) {

/ c0 Q, g9 w: f             $this->file = $file['tmp_name'];

& ^9 M y# ^3 y# M7 S1 P) O             $this->file_name = $file['name'];

8 q1 ]# D6 Q% L8 D9 a' h             $this->file_size = $file['size']; 4 l& S% c/ M! I3 w

            $this->file_type = $file['type']; / ^1 }0 z n6 m& l+ q" B- u

            $this->file_error = $file['error']; 9 l/ k' X7 w* h4 [% H5 C

* V7 N! P$ Q+ L# }   - {8 p7 u4 P/ K1 Y$ l

4 t$ `/ W* L2 b: M         }

        $this->userid = $_userid; ' e8 f; k' P, P9 U- d# Q, U

0 U8 O. Y+ y! O, _* a: J4 \+ h

        $this->ext = file_ext($this->file_name);

7 G1 P& x: L/ C% e$ L2 J2 ?- F

" C$ f- e, D% g" b7 D: o6 U         $this->fileformat = $fileformat ? $fileformat : $DT['uploadtype'];

        $this->maxsize = $DT['uploadsize'] ? $DT['uploadsize']*1024 : 2048*1024;

        $this->savepath = $savepath; & C$ ^3 X; J) W

7 A, r" N- [) K5 T' Z J/ H         $this->savename = $savename;

6 n& n ^* B; L0 Z* t& x

    }}

- I2 B( A/ {7 M5 @- _

这里通过foreach($_file as $file)来遍历初始化各项参数。而savepath、savename则是通过__construct($_file, $savepath, $savename = '', $fileformat = '')直接传入参数指定。

1 L" d/ v7 ~( V: C+ M% c1 N

因此考虑上传了两个文件，第一个文件名是1.php，第二个文件是1.jpg，只要构造合理的表单上传（参考：https://www.cnblogs.com/DeanChopper/p/4673577.html），则在avatar.inc.php中

3 p( }' g' v2 X: q

7 d V5 N1 u" K* D# N( ?2 z $ext = file_ext($_FILES['file']['name']); // `$ext`即为`php` $name = 'avatar'.$_userid.'.'.$ext; // $name 为 'avatar'.$_userid.'.'php'$file = DT_ROOT.'/file/temp/'.$name; // $file 即为 xx/xx/xx/xx.php

A$ u0 N1 I4 q& K x7 Y

而在upload类中，由于多个文件上传，$this->file、$this->file_name、$this->file_type将foreach在第二次循环中被置为jpg文件。测试如下：

4 w- s) e* o" G$ u4 W# ^4 a$ x   q$ Q/ a! D3 |" d7 t2 N) a/ r

8 U/ Q9 v& M: I/ `$ { 回到avatar.inc.php，当进行文件保存时调用$upload->save()，include/upload.class.php:50: # o6 m$ a8 x/ }

<?phpclass upload {

; X V, D: X, U     function save() {

$ ?: ~* D! r. [5 D' j) ^

        include load('include.lang'); $ Q* \3 v2 x/ I" S5 @$ I$ _

        if($this->file_error) return $this->_('Error(21)'.$L['upload_failed'].' ('.$L['upload_error_'.$this->file_error].')'); + i5 a& w- P9 _' z1 O( s( W. v+ ^

8 y4 W) B; C/ i# w* U! \

 

9 W+ y/ S" d% o* c5 v. F8 x% d7 s

" W0 t- Y7 T* x5 @/ G         if($this->maxsize > 0 && $this->file_size > $this->maxsize) return $this->_('Error(22)'.$L['upload_size_limit'].' ('.intval($this->maxsize/1024).'Kb)'); 6 U6 f. k8 K, ~& O" J- f4 J

: F* \0 N5 x( u0 t: I

 

+ u0 D5 ~ {$ }, z4 s4 D; P

        if(!$this->is_allow()) return $this->_('Error(23)'.$L['upload_not_allow']);

  1 K" J6 ?( Q4 ~, @

& f- d3 @5 e @" ]# g" \

        $this->set_savepath($this->savepath); . p' ~2 c' z r

! _3 @( r/ r* S6 n) M- n S- ]$ h

        $this->set_savename($this->savename); 0 g# w/ J, z: n& p

# T4 Y! L" H+ K8 D

  % U9 D- m+ R* f

        if(!is_writable(DT_ROOT.'/'.$this->savepath)) return $this->_('Error(24)'.$L['upload_unwritable']); . [" Q4 D9 S( j: f

        if(!is_uploaded_file($this->file)) return $this->_('Error(25)'.$L['upload_failed']); & P+ x4 V( S! \6 }

- s% X* e& ?. J& X2 N8 N% V

! T$ k3 A7 l g: A- c( d4 a T         if(!move_uploaded_file($this->file, DT_ROOT.'/'.$this->saveto)) return $this->_('Error(26)'.$L['upload_failed']); 6 p8 g0 A* i4 h) c3 I6 w% i0 [, R

7 R3 I6 g3 f! y! B5 @ t

# v+ A* O4 ]3 Q+ L- h   " C3 E7 A" e4 E0 J

/ Q8 C9 a1 N- l         $this->image = $this->is_image(); % b8 L7 y8 N. F6 x. Q4 W

        if(DT_CHMOD) @chmod(DT_ROOT.'/'.$this->saveto, DT_CHMOD); " Z9 M9 x. ]! Z) C- b- l7 j

        return true;

    }}

先经过几个基本参数的检查，然后调用$this->is_allow()来进行安全检查 include/upload.class.php:72：

2 U; t( j: F2 I4 |5 ?4 r$ b% F. {

<?php * B$ T5 l5 g W& ?: o* v

9 P+ @: W0 Q: J+ Q' |

    function is_allow() {

: e0 k. ?' I9 p, }4 O         if(!$this->fileformat) return false; 2 e+ Y, j! g* N) g6 g- F5 t) d5 h: Y

; b4 e4 ?* z- f7 Q( M

        if(!preg_match("/^(".$this->fileformat.")$/i", $this->ext)) return false;

0 e/ K; \! p9 r- H, b& o

        if(preg_match("/^(php|phtml|php3|php4|jsp|exe|dll|cer|shtml|shtm|asp|asa|aspx|asax|ashx|cgi|fcgi|pl)$/i", $this->ext)) return false;

. q+ J& t; d% L4 L, K8 v0 W

$ U5 S" R. g3 Q9 l         return true; " h, U, B- G& I1 `* H

! \/ o3 T( C# u* F

( i4 E5 P) r* { c0 Q, s     }

: |) v- R1 J$ D3 l 可以看到这里仅仅对$this->ext进行了检查，如前此时$this->ext为jpg，检查通过。 ( V3 ~( M: T7 Y, L+ ~

/ i" r+ [+ r) L% a+ A

2 u' u$ |8 H( v) _: O 接着会进行真正的保存。通过$this->set_savepath($this->savepath); $this->set_savename($this->savename);设置了$this->saveto，然后通过move_uploaded_file($this->file, DT_ROOT.'/'.$this->saveto)将file保存到$this->saveto ，注意此时的savepath、savename、saveto均以php为后缀，而$this->file实际指的是第二个jpg文件。 $ X# D! e9 L6 T6 W

. z1 }. k2 g) c

8 \& K5 a- {5 E3 N/ v8 F U 漏洞利用

1 v" t/ `: x& M

4 R8 k( |% Y3 k! j8 y! `2 A 综上，上传两个文件，其中第一个文件以php为结尾如1.php，用于设置后缀名为php；第二个文件为1.jpg，jpg用于绕过检测，其内容为php一句话木马(图片马)。

3 }/ y4 t, j, l

 

1 E4 K5 b; ^: g3 |3 z6 [ s! X 然后访问http://127.0.0.1/file/temp/avatar1.php 即可。其中1是自己的_userid

/ t( X3 U* C1 H) v, R: F* g 不过实际利用上会有一定的限制。

1 J1 V( i# k0 \/ y) e

% T$ ~ s9 U1 W' b8 C 第一点是destoon使用了伪静态规则，限制了file目录下php文件的执行。 * S) E5 S0 Y7 f) Y

) z6 u) D! W2 F/ f: _

 

第二点是avatar.inc.php中在$upload->save()后，会再次对文件进行检查，然后重命名为xx.jpg：

省略...$img = array();$img[1] = $dir.'.jpg';$img[2] = $dir.'x48.jpg';$img[3] = $dir.'x20.jpg';$md5 = md5($_username);$dir = DT_ROOT.'/file/avatar/'.substr($md5, 0, 2).'/'.substr($md5, 2, 2).'/_'.$_username;$img[4] = $dir.'.jpg';$img[5] = $dir.'x48.jpg';$img[6] = $dir.'x20.jpg';file_copy($file, $img[1]);file_copy($file, $img[4]);省略...

; e$ F0 n" D8 Q- Z

9 A. u/ U, Q, P( \9 C 因此要利用成功就需要条件竞争了。

, Z7 c0 s% Q* V9 `

! a! S; @$ ^- G 补丁分析 0 g$ [0 c* a, w- P+ d

( a5 `+ x2 f8 f6 o" u1 N5 w: Z( W

- D. R; S. w7 ~1 O! t, o$ m' g9 ]  

0 z4 X6 q3 K* w2 [! s$ H/ _! k

在upload的一开始，就进行一次后缀名的检查。其中is_image如下：

! W. x8 M6 V! s7 |4 c4 a( o

. Y! `/ S6 y+ e- Y7 r function is_image($file) {    return preg_match("/^(jpg|jpeg|gif|png|bmp)$/i", file_ext($file));}

 

# K# [ D. ^; k& a: d2 M0 X. O. E 在__construct()的foreach中使用了break，获取了第一个文件后就跳出循环。 3 k- q) S L/ ^1 f/ h0 I4 R L

在is_allow()中增加对$this->savename的二次检查。 / y6 b( n3 M" z3 ]

, I+ |9 ~* a, f1 @

* ^# ?1 g, t0 W- s, c 最后

+ m& G# R, h/ E/ ? 嘛，祝各位大师傅中秋快乐！

|7 E" d, W1 Z2 Z

- M# B- {7 s9 \) ~   ; g6 k. Q7 \6 |5 x9 d

8 S0 n6 d* `1 @4 v8 y* z, U$ n+ h" n9 {. L