Destoon cms前台getwebshell

admin

" m: q* i k# e1 E/ _6 @+ |

7 V- c4 Q; F1 t* x3 R

/ K) U# Y6 D8 m5 \! \1 L 前言 : \! R/ R: ?. Y5 H: i

$ U S/ P+ d! A) x$ P8 w' m 2018年9月21日，Destoon官方发布安全更新，修复了由用户“索马里的海贼”反馈的一个漏洞。

  7 l% Z6 P4 N/ e/ _2 Q8 R A

# Q; t" Z! g% o- e7 L: o

漏洞分析

% `( I0 K, W7 s, t

2 |4 @9 K: j/ y# e; P 根据更新消息可知漏洞发生在头像上传处。Destoon中处理头像上传的是 module/member/avatar.inc.php 文件。在会员中心处上传头像时抓包，部分内容如下： 5 I" ]8 Y5 Y5 R

8 ~/ x: x6 a+ s   8 v5 @5 x1 m9 L4 M$ }0 c

6 j2 w9 b( ^1 [ 对应着avatar.inc.php代码如下： 1 Z/ `" T& A$ \0 s8 P2 [

/ u: \) H; n0 {, r) N <?php defined('IN_DESTOON') or exit('Access Denied');login();require DT_ROOT.'/module/'.$module.'/common.inc.php';require DT_ROOT.'/include/post.func.php';$avatar = useravatar($_userid, 'large', 0, 2);switch($action) { : J( h# ~( P" G$ ]( o

    case 'upload':

# ?# G3 H, R3 e: t# p- m- ?

' X5 Z4 m! R' L" a7 r0 {# R+ |         if(!$_FILES['file']['size']) { ; r( j7 z& o" S- E( ^! @

5 C4 o- o; Z" [# U             if($DT_PC) dheader('?action=html&reload='.$DT_TIME); - A8 ]" p, }) w* b: G4 m. I

            exit('{"error":1,"message":"Error FILE"}');

        } 4 r/ T- U1 m2 q- [) C2 q' I

        require DT_ROOT.'/include/upload.class.php';

5 [7 `9 b' t$ g5 O0 T

 

' j8 o1 A R; c: P5 I. z7 F. S( l

; R! V' p% W% j5 q( F         $ext = file_ext($_FILES['file']['name']); 8 L2 {3 F( J X

5 W$ U: M% R/ g) E/ V0 A         $name = 'avatar'.$_userid.'.'.$ext; 2 [/ ]- W) T3 J/ y/ Z- z. Z

        $file = DT_ROOT.'/file/temp/'.$name;

& c: o8 q1 g C. ~/ V' B+ u7 m

7 ~! |# K( g( E# M7 m. s. d& R   ; X) B: S% L- j( G

5 t7 E# W0 t6 L- A- h

        if(is_file($file)) file_del($file);

% t. [( a7 W6 j8 w7 Y' M) V% n3 ]* q         $upload = new upload($_FILES, 'file/temp/', $name, 'jpg|jpeg|gif|png'); : X7 n4 s ~# b+ N; ^

# }+ C j `1 r" \/ o- L. y

  8 | ]& V8 H7 t ]) R) z9 E

        $upload->adduserid = false;

3 E: N* A! S- U6 e   6 R ]) w7 {) L% G

9 W" G: W3 A9 E4 C- T         if($upload->save()) { * O/ b/ U9 N% Q% h8 Z3 X

1 w' I; I: A+ }& S; l. e8 a+ v

            ... # T) j: r. a; ]+ j' t

" J# Z% _; M, \% o         } else {

9 v5 ^( Z$ R! O2 H

            ... 2 e$ k, Z2 a; D# V9 }& ^( x

( j6 _. L5 ?3 i

        }

, o3 E) W5 r* X! Q& B3 r& T4 s

: p4 x/ z/ F$ I6 q9 p% d) Q$ g     break;

; Z, C2 f2 f: m+ o! U/ L

这里通过$_FILES['file']依次获取了上传文件扩展名$ext、保存临时文件名$name、保存临时文件完整路径$file变量。之后通过new upload();创立一个upload对象，等到$upload->save()时再将文件真正写入。

5 _8 t1 j3 _$ b! E

2 |- l4 Y- x* x$ F+ t upload对象构造函数如下，include/upload.class.php:25： 4 k$ l8 `* I: Q8 ^1 V b; H- E ]

<?phpclass upload { ( l7 |' ~& L9 n K2 Q

5 f& A( A7 W8 m( x% X; k2 l

    function __construct($_file, $savepath, $savename = '', $fileformat = '') {

" n; F0 s4 }6 o) K

        global $DT, $_userid; ( }. u# Q) n7 |) B D2 R* q& z8 i

2 u* Q1 t3 h3 H2 n2 f7 c8 M+ U

        foreach($_file as $file) {

6 I7 j% _: _5 L& L4 t! n' |

            $this->file = $file['tmp_name'];

& ]+ k2 g2 y+ b0 W

            $this->file_name = $file['name']; " s/ e7 v4 T% b' u# X, E; N1 `( L

            $this->file_size = $file['size']; * u; v: o5 R3 h

* K6 g$ N5 X5 s( u- C             $this->file_type = $file['type'];

" c; B, v, J6 a- X% b# {" @* R

5 Z+ ?' s2 o( f2 V             $this->file_error = $file['error']; " b& S& k: b7 R" r

- r. \0 J# F' a! ]

- i7 A" O* @* q9 C/ @! n   , s$ N6 r! s- _1 w

        }

4 Z! n: {. e( r+ w7 |

        $this->userid = $_userid;

_2 m8 d; H e3 G+ Z

4 i! {( K& I8 I- u" `( n- x @         $this->ext = file_ext($this->file_name);

: g" c$ S3 W0 S         $this->fileformat = $fileformat ? $fileformat : $DT['uploadtype'];

f$ }4 a+ v. ^ }6 l# i

        $this->maxsize = $DT['uploadsize'] ? $DT['uploadsize']*1024 : 2048*1024;

        $this->savepath = $savepath;

; g) P2 \: K4 q

        $this->savename = $savename; 6 A3 {5 I# V# J$ \

5 T7 m+ Z6 X! j

2 `, g' Q; n7 i     }} * T6 }0 ?+ d3 `- e0 q+ i

$ o L% d0 y5 x1 a

6 \) H8 }: P. w5 U7 a& P7 @. V( v 这里通过foreach($_file as $file)来遍历初始化各项参数。而savepath、savename则是通过__construct($_file, $savepath, $savename = '', $fileformat = '')直接传入参数指定。

因此考虑上传了两个文件，第一个文件名是1.php，第二个文件是1.jpg，只要构造合理的表单上传（参考：https://www.cnblogs.com/DeanChopper/p/4673577.html），则在avatar.inc.php中

) ?, t& ]$ \8 \* S8 l $ext = file_ext($_FILES['file']['name']); // `$ext`即为`php` $name = 'avatar'.$_userid.'.'.$ext; // $name 为 'avatar'.$_userid.'.'php'$file = DT_ROOT.'/file/temp/'.$name; // $file 即为 xx/xx/xx/xx.php ' d5 }! ?# q1 R8 p) F% `: y! H

1 i3 W: N0 p$ J

而在upload类中，由于多个文件上传，$this->file、$this->file_name、$this->file_type将foreach在第二次循环中被置为jpg文件。测试如下：

9 e/ f) p/ E c. Z+ _" w! ~9 d, g8 O

( A1 N: U, r- [* u   / X* C1 Y% w ~# v

6 d' J; d4 `3 H

回到avatar.inc.php，当进行文件保存时调用$upload->save()，include/upload.class.php:50:

% S/ Z: p% d3 X7 ^" o

. q2 g, B/ Z4 ^: C9 S& m <?phpclass upload { % x( e: |& J3 B! S

    function save() {

) |. e" a" H1 N

        include load('include.lang'); ; N" Z$ {( W2 J

6 o% y. k+ B |0 }1 A Y         if($this->file_error) return $this->_('Error(21)'.$L['upload_failed'].' ('.$L['upload_error_'.$this->file_error].')'); ; l3 @ v+ t! R6 @

 

        if($this->maxsize > 0 && $this->file_size > $this->maxsize) return $this->_('Error(22)'.$L['upload_size_limit'].' ('.intval($this->maxsize/1024).'Kb)'); ; B @# B0 \4 c

, A8 Y5 @; M5 ?4 d

/ F; J( }9 f0 J, B3 V   7 r) Q+ o6 {4 K3 K6 h, L

; H. }7 X/ c5 z5 Y

        if(!$this->is_allow()) return $this->_('Error(23)'.$L['upload_not_allow']);

+ c/ j# c: S( D F! A

! m" [7 O% J* O4 p# E" }  

- c! u; H4 @. ?( A: u; p         $this->set_savepath($this->savepath);

1 n; U& q3 ?6 a4 }- M9 }0 V& C! }

* I* }* K$ S) F1 r         $this->set_savename($this->savename); 7 M6 S4 P" Z- \* b# Y7 U

4 ~" c5 A& q" H' p

 

        if(!is_writable(DT_ROOT.'/'.$this->savepath)) return $this->_('Error(24)'.$L['upload_unwritable']); ; i4 B2 z5 G( s9 x3 Z

        if(!is_uploaded_file($this->file)) return $this->_('Error(25)'.$L['upload_failed']); . _* g4 h' x: d

1 a3 D+ r) i" F5 a+ R: i

        if(!move_uploaded_file($this->file, DT_ROOT.'/'.$this->saveto)) return $this->_('Error(26)'.$L['upload_failed']); 7 G9 O, ]; I$ d( s5 G

% v' g$ I$ O; Z$ [

& T* U% D" T" I& Q! Z  

/ G/ f5 P: _7 F! T$ k         $this->image = $this->is_image();

- G# [8 B6 R( I; n# {

$ w0 i- k& x I4 ^: q$ c& E( R         if(DT_CHMOD) @chmod(DT_ROOT.'/'.$this->saveto, DT_CHMOD);

) U6 `( v2 c6 S8 X G, u

        return true; * c( R/ ~2 V$ l( _

# o9 f: j0 J6 r0 l8 s+ H" m     }}

! k5 x0 t" y5 N

先经过几个基本参数的检查，然后调用$this->is_allow()来进行安全检查 include/upload.class.php:72： 4 t" ^: d) K+ c1 L. J, b$ _

/ W# f2 d, B: u- q1 Z* t# h

. R5 Q/ s! j; y! l7 I <?php

1 @ F( I A. r$ G     function is_allow() { / _4 V6 E7 D; ]+ k; T

& }1 u& D( S# {. s3 q& K- @         if(!$this->fileformat) return false; - T. ^ l- T. b5 A

9 `& B6 T' _7 d

        if(!preg_match("/^(".$this->fileformat.")$/i", $this->ext)) return false; - m* E" W) u$ q0 ~

* Z1 @; B( u2 h" z

        if(preg_match("/^(php|phtml|php3|php4|jsp|exe|dll|cer|shtml|shtm|asp|asa|aspx|asax|ashx|cgi|fcgi|pl)$/i", $this->ext)) return false; - p8 P6 ^# W0 Q t% f7 ?6 }! o

/ v' {' _: q( D) ?6 {9 T2 l; @

        return true;

    }

- {$ ^6 c' [+ Z4 k

% k! e" L/ j4 Z8 p 可以看到这里仅仅对$this->ext进行了检查，如前此时$this->ext为jpg，检查通过。

接着会进行真正的保存。通过$this->set_savepath($this->savepath); $this->set_savename($this->savename);设置了$this->saveto，然后通过move_uploaded_file($this->file, DT_ROOT.'/'.$this->saveto)将file保存到$this->saveto ，注意此时的savepath、savename、saveto均以php为后缀，而$this->file实际指的是第二个jpg文件。 ; ]9 N, ^4 s# U

% j' Y$ Z4 l" ^& j5 T6 w

漏洞利用 $ \/ ~% x1 J- u4 q/ o

9 D5 B& j1 w) C. c

5 d( O+ E4 }5 f9 u- c* x 综上，上传两个文件，其中第一个文件以php为结尾如1.php，用于设置后缀名为php；第二个文件为1.jpg，jpg用于绕过检测，其内容为php一句话木马(图片马)。 $ w% k T; H) D X8 @8 \0 X5 x

  9 f% |: p7 o, {* K

+ _8 T" S. N8 C+ A: ~

; e# H( J& W/ c; Q 然后访问http://127.0.0.1/file/temp/avatar1.php 即可。其中1是自己的_userid

6 @$ F& T) n# u* b$ k; U

# i I, L8 o! b 不过实际利用上会有一定的限制。

第一点是destoon使用了伪静态规则，限制了file目录下php文件的执行。

+ T# t& b# C2 c   3 Y% z% ~+ a9 x$ M6 b4 I$ K. X

# Z. c$ |. j. o) G0 ^

) X6 b9 _: f" l' o. a, b V 第二点是avatar.inc.php中在$upload->save()后，会再次对文件进行检查，然后重命名为xx.jpg：

D6 r8 V' r5 U3 b5 D* V T; M 省略...$img = array();$img[1] = $dir.'.jpg';$img[2] = $dir.'x48.jpg';$img[3] = $dir.'x20.jpg';$md5 = md5($_username);$dir = DT_ROOT.'/file/avatar/'.substr($md5, 0, 2).'/'.substr($md5, 2, 2).'/_'.$_username;$img[4] = $dir.'.jpg';$img[5] = $dir.'x48.jpg';$img[6] = $dir.'x20.jpg';file_copy($file, $img[1]);file_copy($file, $img[4]);省略... . r# y' H3 D" I7 U0 d2 Z

k+ E* e5 l/ |: z; @

1 W4 |, a7 a1 L+ C 因此要利用成功就需要条件竞争了。 9 D7 d0 m2 D, ~

5 V5 ?/ o9 j9 `$ q$ Z$ h( j3 v 补丁分析

5 | j0 r. n" w3 S; C2 ?, g3 o7 [

0 X, e! \: o. g+ Y  

/ ~+ q$ t$ H+ O% }- j* x

在upload的一开始，就进行一次后缀名的检查。其中is_image如下： & \4 a' C# N" u+ e

function is_image($file) {    return preg_match("/^(jpg|jpeg|gif|png|bmp)$/i", file_ext($file));} 6 R% Z$ U( ]: @* e \

 

. M5 U- m# u/ z9 w 在__construct()的foreach中使用了break，获取了第一个文件后就跳出循环。 * T3 p$ O* c# d) o( G

: Z9 m, t: w( N, B8 M

% |, p( F# L* Q _ 在is_allow()中增加对$this->savename的二次检查。 " Z8 h: @& F2 y# J

: O0 k3 B- c; E: d, I) ^% ?1 Z' U: I

/ | _3 _" ]8 [5 w! Q5 n ~ 最后

嘛，祝各位大师傅中秋快乐！ - L/ ?0 b# s" L' r

: \) l" Q' X6 a6 B$ l q% R

- P: `0 b; \) h8 S# f/ |