Destoon cms前台getwebshell

admin

前言

5 f2 @. Q" I+ x2 y. N k- ^ 2018年9月21日，Destoon官方发布安全更新，修复了由用户“索马里的海贼”反馈的一个漏洞。

0 D8 \$ V7 f* [5 l: h

. e, W2 J6 c# |/ s7 |' s   + f S. B& H. k3 x& ~& c3 _! d

! r8 S) G; Q4 ?- s! E# o9 G 漏洞分析 3 \( _8 A8 Q& u. A! i8 b

4 Y6 P# E+ ^! A0 _6 M5 \ 根据更新消息可知漏洞发生在头像上传处。Destoon中处理头像上传的是 module/member/avatar.inc.php 文件。在会员中心处上传头像时抓包，部分内容如下： 3 Z \8 Z( u, p3 r, t1 M

 

8 ]4 p4 d% r, c. [. l

6 p# t1 A" w: S 对应着avatar.inc.php代码如下： 7 S2 h1 p" _ O

3 M, l! }! N. |" S+ c

% P9 l+ y, _4 L$ i. B9 k/ w <?php defined('IN_DESTOON') or exit('Access Denied');login();require DT_ROOT.'/module/'.$module.'/common.inc.php';require DT_ROOT.'/include/post.func.php';$avatar = useravatar($_userid, 'large', 0, 2);switch($action) {

1 Q& p$ H8 [: X/ E

    case 'upload': 1 `9 y. Q4 Z+ }7 x# ^2 v

4 }8 o. [% }1 y( j; z" a7 |         if(!$_FILES['file']['size']) {

            if($DT_PC) dheader('?action=html&reload='.$DT_TIME);

2 j* D! @+ v/ Q' P2 w; a1 M" n

            exit('{"error":1,"message":"Error FILE"}'); ) Q2 z7 q! j, b, @" |1 Z1 `( Y# Q

5 ~* p( U, s# @( M& {5 i) B3 r

8 i% n& b4 ^8 ?' w2 Y# K7 D8 e' O         } , `& m' J6 Y) S3 |0 s) I! |

( B& K: Z' I2 ~+ s2 K! {         require DT_ROOT.'/include/upload.class.php'; 1 o4 I3 E/ a+ u0 E

- w* X+ F7 {( }4 g4 ~7 `0 V3 Y4 C% V

  : v6 ~/ K: w" e) i2 U0 I4 Q

/ q9 R6 ~; a# W# }2 X* B, W

7 l) t' C! k2 i. K2 u2 r         $ext = file_ext($_FILES['file']['name']);

        $name = 'avatar'.$_userid.'.'.$ext; 9 F M, s& U1 U

0 F+ c' [# U+ R/ I: D         $file = DT_ROOT.'/file/temp/'.$name; 8 u* _7 n3 |# d" e( ~/ \1 |( y

5 f3 e% L* \3 Z5 p' x

 

) D+ E7 _- g/ V         if(is_file($file)) file_del($file); $ w. h( t: Y; p8 A! D6 P' z

) _9 _; b. o5 [5 w

        $upload = new upload($_FILES, 'file/temp/', $name, 'jpg|jpeg|gif|png');

3 _$ y7 m% a. e4 @ }+ k  

5 P! f, V: y, q: |" W+ ?9 O

' v% V. ]4 `/ @0 L# j3 }; [! m) k         $upload->adduserid = false;

$ u. x! O* i' k; V   2 b5 A- D/ a H) j+ I

        if($upload->save()) {

% `/ M# s3 [9 C" B. r e r1 Q

            ... 4 v6 b4 @- z# x1 @

; `3 l8 Q& Q9 g3 G+ h

! M+ S( L d: K         } else { 8 ]3 c( y6 o) Q% f6 ~+ n

9 m1 X; Q5 d$ W1 @8 D

: J- f4 i$ D+ p5 w/ R( ^! _             ...

        } - S6 ?8 ~8 ^% Z7 n' ?

7 a) ~: U' a! d/ M5 I& S# G     break;

" \- v; x. i* |8 T7 S& [

/ u' ]/ F) [* V, _ 这里通过$_FILES['file']依次获取了上传文件扩展名$ext、保存临时文件名$name、保存临时文件完整路径$file变量。之后通过new upload();创立一个upload对象，等到$upload->save()时再将文件真正写入。 ' W/ L" H# F @9 ]' L+ _. F% F

upload对象构造函数如下，include/upload.class.php:25： / k% N7 S9 W' `1 b1 k0 o+ A

/ D& e- b8 ~" ?* q

<?phpclass upload {

- ^, U3 ]6 K- ~5 h5 ]

    function __construct($_file, $savepath, $savename = '', $fileformat = '') {

' c# J( \/ b2 M5 R

        global $DT, $_userid;

v. X. D# ?3 y! r

        foreach($_file as $file) {

/ C+ R0 P' W* U- w* \9 L

            $this->file = $file['tmp_name'];

$ K8 U4 o5 ?; x0 f

! D3 L) s C) ~             $this->file_name = $file['name']; : M) Y! C( Z5 r

. I, c, w2 c1 G) ?

            $this->file_size = $file['size'];

% r- v* X3 r' d* z7 x! K

$ V v' T/ C" `# s$ @             $this->file_type = $file['type'];

& o! l+ c' }! F+ A6 _             $this->file_error = $file['error'];

4 I9 X1 J6 V2 ?. _$ i6 B6 A z7 r  

s* l: z' Z# r' M `: I

        }

2 p8 b/ _) s7 {3 i2 `8 M

' M5 T3 D4 n- D' N- ~1 S j4 H         $this->userid = $_userid; 8 F1 M: W- L% W4 F9 \' k

+ U8 l4 K% e* `* ]# s6 s: F

* W f% _5 \& i# o         $this->ext = file_ext($this->file_name);

8 F, w S! _9 P         $this->fileformat = $fileformat ? $fileformat : $DT['uploadtype']; , q# X5 R- t& E0 f( B3 Q

5 Q# x5 d: h$ v. Y; ]: W: t, {

        $this->maxsize = $DT['uploadsize'] ? $DT['uploadsize']*1024 : 2048*1024;

8 c" J N9 w! ]3 E* G

        $this->savepath = $savepath;

, k$ \* m Q+ x# x9 J1 D! t         $this->savename = $savename;

" b+ o5 Q e! g j; J% Q4 h

$ u' o* J5 @& r     }} ; Z# J, G$ J3 r9 B* ^' o

~4 `4 z$ [- i6 j, P! [/ [

. j- T# O- c- ` 这里通过foreach($_file as $file)来遍历初始化各项参数。而savepath、savename则是通过__construct($_file, $savepath, $savename = '', $fileformat = '')直接传入参数指定。 ' Q) {. ~) d; ^# v4 E# \( E5 @

4 b, |9 @" g: Q+ Q6 U. `

因此考虑上传了两个文件，第一个文件名是1.php，第二个文件是1.jpg，只要构造合理的表单上传（参考：https://www.cnblogs.com/DeanChopper/p/4673577.html），则在avatar.inc.php中 # Q q! W) U7 r* K

- C, r6 c* U7 K. e) s4 ^

O& I+ ?" x8 L4 ` $ext = file_ext($_FILES['file']['name']); // `$ext`即为`php` $name = 'avatar'.$_userid.'.'.$ext; // $name 为 'avatar'.$_userid.'.'php'$file = DT_ROOT.'/file/temp/'.$name; // $file 即为 xx/xx/xx/xx.php 5 w0 V0 J5 l: T" d) |1 G/ D: b" U

而在upload类中，由于多个文件上传，$this->file、$this->file_name、$this->file_type将foreach在第二次循环中被置为jpg文件。测试如下： 2 z9 ?: J1 c3 ` R" F5 g

6 L- [* m+ q% k1 l& x1 _6 r- N: ?

  4 }5 _1 o3 b3 |4 N

* V# M, ~- _, v( ^

+ Q0 D% d* D9 @+ j# L# j" W6 L 回到avatar.inc.php，当进行文件保存时调用$upload->save()，include/upload.class.php:50: 7 }9 @! {( v7 T5 p, q- z

' D0 ^8 ?0 ?/ L4 L, A

<?phpclass upload {

/ T" E& I- Q, z" a6 X

: H8 i$ L0 v7 C1 W. G9 n$ P- G- e     function save() {

" z( K1 e9 }! D. n- B6 p- v

/ I9 Q$ n" D1 V9 k3 p         include load('include.lang');

. m8 }/ w* X8 B6 r9 a* b E- `         if($this->file_error) return $this->_('Error(21)'.$L['upload_failed'].' ('.$L['upload_error_'.$this->file_error].')');

' c( F! X6 |& f% c9 P" n+ P C7 b   . F, ~' W0 a+ c! p& O \& Z7 z7 e

2 ]& _9 m/ J1 T5 n

8 y/ h3 u& S' [% S) T         if($this->maxsize > 0 && $this->file_size > $this->maxsize) return $this->_('Error(22)'.$L['upload_size_limit'].' ('.intval($this->maxsize/1024).'Kb)');

  5 g) R& }- B; B# w5 ~+ R

        if(!$this->is_allow()) return $this->_('Error(23)'.$L['upload_not_allow']);

/ W% j. M* w3 B1 l

 

$ Z0 R% \3 [: X7 X! s. \+ ~         $this->set_savepath($this->savepath); 6 w, n" t% I6 \; p2 Z9 \) t4 M

: }- `* j' l8 f         $this->set_savename($this->savename);

; j# M- P4 L5 k; P: d   ; r2 E# [, J$ G% q; i! T+ A

) z4 K* ]: D+ U* j k' `( i5 G

; v! a, d& O( k7 j         if(!is_writable(DT_ROOT.'/'.$this->savepath)) return $this->_('Error(24)'.$L['upload_unwritable']); - |1 m# Q. @0 A8 ^6 T5 _* K, x

' ]6 Z2 F5 C$ R5 z

; e& f1 G- p1 c2 x         if(!is_uploaded_file($this->file)) return $this->_('Error(25)'.$L['upload_failed']); 7 R' j0 t; k8 Y/ r7 q# R9 d8 ^

: k( ?7 r/ [3 m& t4 r# g

+ x% n0 P5 r4 |( F1 v/ V         if(!move_uploaded_file($this->file, DT_ROOT.'/'.$this->saveto)) return $this->_('Error(26)'.$L['upload_failed']);

 

" Y: f! e' J; D/ x9 y

        $this->image = $this->is_image();

" u' X% E8 e8 _3 ?3 |) C

& K4 y& B) C- w1 r Y7 c# l% l         if(DT_CHMOD) @chmod(DT_ROOT.'/'.$this->saveto, DT_CHMOD);

7 m! N# \" e0 X7 m! i9 L

        return true;

8 W* g7 b% @2 `9 {4 i2 S' \/ O: J

    }} 0 s' M) S8 N/ W$ M0 j2 G

8 I8 N( ^0 E$ }2 n' H9 c r0 [

先经过几个基本参数的检查，然后调用$this->is_allow()来进行安全检查 include/upload.class.php:72： + i: M, G* m5 j" G( F& R% c- C# K6 I

+ I8 X7 V0 z& @4 [

<?php 5 d- ]5 B" \2 T* k# Y

    function is_allow() { $ k2 T! i! d4 n/ i6 U8 i) Q* d

5 x2 |) V% i' G1 x. U1 ^         if(!$this->fileformat) return false; : U# ]7 G8 ?3 J$ g8 v+ F

+ p1 ]' m1 p) j4 ]! C' |

9 S) I+ W. i3 F7 ]! u3 Q! F. P         if(!preg_match("/^(".$this->fileformat.")$/i", $this->ext)) return false; ' |6 V- u! d# p* z6 u; Q* N

. a9 [2 v* `7 J- Q5 g

        if(preg_match("/^(php|phtml|php3|php4|jsp|exe|dll|cer|shtml|shtm|asp|asa|aspx|asax|ashx|cgi|fcgi|pl)$/i", $this->ext)) return false; : v W4 [/ h0 C

6 B$ b9 q- q* }' O

+ F5 h9 M) d2 V+ K3 ?/ G' _* C9 i         return true;

% k$ Z8 f0 T: \! I     }

, h. N+ C( H r2 E" T6 g+ F# S 可以看到这里仅仅对$this->ext进行了检查，如前此时$this->ext为jpg，检查通过。 7 {! r, a5 _: X- G8 X' o, N8 l

接着会进行真正的保存。通过$this->set_savepath($this->savepath); $this->set_savename($this->savename);设置了$this->saveto，然后通过move_uploaded_file($this->file, DT_ROOT.'/'.$this->saveto)将file保存到$this->saveto ，注意此时的savepath、savename、saveto均以php为后缀，而$this->file实际指的是第二个jpg文件。

; ?! N' ]* V# h 漏洞利用 k2 b9 \& h' M. Z& [

u& y8 D: B& X' a& T 综上，上传两个文件，其中第一个文件以php为结尾如1.php，用于设置后缀名为php；第二个文件为1.jpg，jpg用于绕过检测，其内容为php一句话木马(图片马)。 . a ^/ f# v7 j9 a: n$ ~& g

% `6 H& F) C& C i4 J3 O

  ! Y. N" T5 S$ t+ Y4 U

然后访问http://127.0.0.1/file/temp/avatar1.php 即可。其中1是自己的_userid : Z- C* i, `3 h- {( T- w: G

6 ^3 d; S- P }$ x$ k' j. [! `

不过实际利用上会有一定的限制。

第一点是destoon使用了伪静态规则，限制了file目录下php文件的执行。 9 A" @# i1 q6 A5 t

. Z4 f/ I* {3 y

  : y3 e! f9 O# v' J$ a! R

5 [. t& |/ L, i {; a$ w$ V

第二点是avatar.inc.php中在$upload->save()后，会再次对文件进行检查，然后重命名为xx.jpg： 0 ^+ B. Z$ M4 t$ z2 W

2 C3 c5 \1 g; y+ J

: X0 M/ _" C% Z 省略...$img = array();$img[1] = $dir.'.jpg';$img[2] = $dir.'x48.jpg';$img[3] = $dir.'x20.jpg';$md5 = md5($_username);$dir = DT_ROOT.'/file/avatar/'.substr($md5, 0, 2).'/'.substr($md5, 2, 2).'/_'.$_username;$img[4] = $dir.'.jpg';$img[5] = $dir.'x48.jpg';$img[6] = $dir.'x20.jpg';file_copy($file, $img[1]);file_copy($file, $img[4]);省略... 3 B' `1 ^) v2 x# ?! h% k

% O' f V6 R$ C4 n

* x+ { {5 d$ b9 Q/ o: z 因此要利用成功就需要条件竞争了。

补丁分析

! M6 R3 f; L8 L

3 l# ?- @. X1 E) i$ F# X4 o: z, K' M  

1 G2 |, S8 E& e" c, D4 c

% s7 L1 W" I. C% L- C0 }2 v# c: @ 在upload的一开始，就进行一次后缀名的检查。其中is_image如下：

function is_image($file) {    return preg_match("/^(jpg|jpeg|gif|png|bmp)$/i", file_ext($file));}

1 G$ ?2 [- [2 B

" j+ h9 t0 w- S  

. k2 U& l% {' W 在__construct()的foreach中使用了break，获取了第一个文件后就跳出循环。

: w) G( f0 L8 V* v8 H7 S- k0 }& o

4 v3 Q; i/ P7 c) q3 H3 b 在is_allow()中增加对$this->savename的二次检查。 : c" B p1 E1 D3 ^4 a- K

( H: t" a. {( T; ^/ R9 b 最后

: _; e2 X) Y! R/ T

Y; l. C* U$ U4 `" C ]( m' P2 O 嘛，祝各位大师傅中秋快乐！

  6 T! {; d" X0 [) p

' G: |# p) d( Y! j4 |1 z# k6 j8 ]. x% X