Destoon cms前台getwebshell

admin

/ W, H$ z* ~! ^

. c/ B! J& [6 N! j, _6 L

% ` w* X# h3 [. l g

7 W$ F j! \% {; B 前言 + n: ] X% ~% z5 e5 v7 t

7 |. Q8 p: z; H

c0 b+ f" Z2 E 2018年9月21日，Destoon官方发布安全更新，修复了由用户“索马里的海贼”反馈的一个漏洞。

4 N0 [5 |2 B- l' N0 g   ! O) F) `1 Q/ l4 ^

漏洞分析 : n: r6 \$ c6 u& [; P

根据更新消息可知漏洞发生在头像上传处。Destoon中处理头像上传的是 module/member/avatar.inc.php 文件。在会员中心处上传头像时抓包，部分内容如下：

( ]* P( A/ \# v& W- } \

 

对应着avatar.inc.php代码如下：

2 m! \9 f2 E5 X d5 }3 m1 ]( N$ k

8 t+ M% U0 d1 T <?php defined('IN_DESTOON') or exit('Access Denied');login();require DT_ROOT.'/module/'.$module.'/common.inc.php';require DT_ROOT.'/include/post.func.php';$avatar = useravatar($_userid, 'large', 0, 2);switch($action) {

    case 'upload':

        if(!$_FILES['file']['size']) {

4 U4 ^1 r6 n# t& o% J, |

1 D" [2 X% n5 s! i- \; |6 j             if($DT_PC) dheader('?action=html&reload='.$DT_TIME); * V) A& Q. k9 {9 y" b6 R

5 R6 g1 i I; l/ b5 S4 O/ h             exit('{"error":1,"message":"Error FILE"}');

9 e- i2 u2 Y1 o. S/ M

: O) k+ n/ d/ D' _         } ' F! m) [* _: T' e2 \6 s3 o- b2 }# |

; [2 e X7 |7 o. a

* z0 s- j7 f0 G         require DT_ROOT.'/include/upload.class.php';

 

; Q+ O7 H' _3 c' e( g         $ext = file_ext($_FILES['file']['name']);

6 b p- {9 t. Q% x$ M4 A

0 e' w* K4 Q- y2 A8 q+ d( X2 R         $name = 'avatar'.$_userid.'.'.$ext;

9 h* B9 l- ^) t2 c7 z: z

+ }9 }* N3 _! X2 z$ J4 b         $file = DT_ROOT.'/file/temp/'.$name; % T7 |2 b$ e# q; i' `! z$ M

+ k& y1 F$ D6 T8 R/ f2 \

  Y/ S( Z) D h G9 q" Q( H

9 Q" j- `8 d* e

# k( j2 M, I" k, Z3 q3 i- w         if(is_file($file)) file_del($file);

" F- @2 h& H; |

        $upload = new upload($_FILES, 'file/temp/', $name, 'jpg|jpeg|gif|png'); - i# Q( k' V f* n! n5 ]2 S

1 q5 A3 S9 [) o

  * @ \ a. U# V

        $upload->adduserid = false; 4 M2 t0 I% N3 Q& p3 I

& |3 I& ~, j) j; O, k+ t. k

; t) N6 w/ M, X8 y* W3 A2 U   1 W, O2 Y" w1 Z+ k4 K7 }

% W( l# J4 z$ ` e2 F. N

8 s* `. b' U9 [: Y+ j% W         if($upload->save()) { % I$ t+ G: [: W& t

3 p9 o) O6 w& [ i0 Z& C& G3 E             ... : ?9 s7 q8 a" D8 I: C X) B2 H

        } else {

0 T0 k6 n2 d% h

            ...

9 X0 A B5 ~& u' J4 }- D

B( i+ }% q& T: q+ O+ y: }         }

1 }) [, ?4 |) W% t1 P1 ?- T     break;

% ?: m: |! w Y. n" F% N

这里通过$_FILES['file']依次获取了上传文件扩展名$ext、保存临时文件名$name、保存临时文件完整路径$file变量。之后通过new upload();创立一个upload对象，等到$upload->save()时再将文件真正写入。 . \ x' U. }+ G; E0 b+ b

upload对象构造函数如下，include/upload.class.php:25： , q+ N: S' }: x; ^) W* |

7 _) t B# W% p

8 X; C5 Y" ~. ^( l <?phpclass upload {

    function __construct($_file, $savepath, $savename = '', $fileformat = '') {

        global $DT, $_userid;

        foreach($_file as $file) {

; _8 t3 M# P- A# q

7 B! f4 b* O" P             $this->file = $file['tmp_name'];

7 c1 |/ J2 _' v

            $this->file_name = $file['name']; 6 g2 T+ E2 W. w. y- q4 H

- d# E( M) Q" D) m- z$ E* U

            $this->file_size = $file['size']; 9 {) f( e5 r1 U. d* q( _4 f8 M; v( v

0 a7 S; X1 g [             $this->file_type = $file['type']; ; f5 ^6 T: B" d7 p

2 m. _/ B0 |; G( B' a& U0 N! H

            $this->file_error = $file['error'];

 

, _1 S1 j+ i( d; u- W

8 o( b, b2 X7 H$ ~1 o         }

/ t) B% Y! }% r9 A

; O& F0 u9 _7 \/ A         $this->userid = $_userid;

" ?7 T8 K8 j. \9 }6 N, }: p         $this->ext = file_ext($this->file_name); . {9 t8 B2 ?$ T

2 @6 ]7 ^" Q- g u, Z! @& @: ^         $this->fileformat = $fileformat ? $fileformat : $DT['uploadtype']; . N# A5 V, V4 c* ?9 L

; \# ~. T+ z. u( {( T& B3 A

9 _8 @/ G( W; t- K$ v$ U8 y1 j @         $this->maxsize = $DT['uploadsize'] ? $DT['uploadsize']*1024 : 2048*1024;

8 l: S! u' {6 M0 b0 V2 k7 b2 c9 ]

* `* n, G* G2 F6 k         $this->savepath = $savepath;

# i6 ~- \& t* l

, x, S7 K0 @0 Y L& \8 i, {         $this->savename = $savename;

    }}

3 w8 V$ Z+ d" \: H. s; k

q/ @4 D u: {, S/ J7 L' C# J 这里通过foreach($_file as $file)来遍历初始化各项参数。而savepath、savename则是通过__construct($_file, $savepath, $savename = '', $fileformat = '')直接传入参数指定。 2 u9 W4 l& k2 B7 C5 y

因此考虑上传了两个文件，第一个文件名是1.php，第二个文件是1.jpg，只要构造合理的表单上传（参考：https://www.cnblogs.com/DeanChopper/p/4673577.html），则在avatar.inc.php中 3 a: r- }, r* P/ V) v; g! f: _6 S4 E

& S; a) f/ j# I @

# Y, w3 D- A3 A2 B) [ $ext = file_ext($_FILES['file']['name']); // `$ext`即为`php` $name = 'avatar'.$_userid.'.'.$ext; // $name 为 'avatar'.$_userid.'.'php'$file = DT_ROOT.'/file/temp/'.$name; // $file 即为 xx/xx/xx/xx.php 6 ~: P7 ]4 J& a: B: g; o3 ]

, Q1 Z( h& G! C3 j6 r8 \; w

' f& }4 `4 S+ a; g Q 而在upload类中，由于多个文件上传，$this->file、$this->file_name、$this->file_type将foreach在第二次循环中被置为jpg文件。测试如下： & w* O$ h! g* I2 Z# e

  9 ^3 T7 k' R2 \: @

0 Q) D! k+ {4 p* T& H5 H 回到avatar.inc.php，当进行文件保存时调用$upload->save()，include/upload.class.php:50: : E; P$ E. f$ Z/ Z" X3 Q, O0 P% b

! F) g3 C& X/ C* q3 C7 f' G5 K

. V, Y- u7 T% J+ C0 `. W1 u <?phpclass upload {

+ G" n' V4 Z; |+ K( Q/ _) L9 K5 m     function save() { ; {9 w: U- P* q

2 N8 z; X, M5 W& o0 Q5 V

        include load('include.lang'); 0 l) J' `' Z2 {& q) C, T

7 @' P5 ~* o u) W, j% R+ l

& W. x3 b; g" t, K0 l8 n/ A         if($this->file_error) return $this->_('Error(21)'.$L['upload_failed'].' ('.$L['upload_error_'.$this->file_error].')');

]8 x$ l$ J z7 h8 d+ v9 e4 v4 h

$ _3 l1 y; _' [: z8 J  

        if($this->maxsize > 0 && $this->file_size > $this->maxsize) return $this->_('Error(22)'.$L['upload_size_limit'].' ('.intval($this->maxsize/1024).'Kb)');

2 n' j. |' t' U" S

8 a u9 P9 g+ A& L   8 Q& F' F/ G, h3 N: j- k# {

- b& I. ^8 C b- D/ I) D3 C         if(!$this->is_allow()) return $this->_('Error(23)'.$L['upload_not_allow']);

: M7 @5 o3 n/ R# i# M& ~( ]

# s' Z/ s+ ]+ m2 {' K. g! c! Y  

5 B$ T$ u# B/ I. B, M4 u

* O5 L/ r* S- l% u0 P' x         $this->set_savepath($this->savepath);

        $this->set_savename($this->savename);

+ X7 P! w5 c( @  

% h& H/ z5 T1 `! x2 E2 a

l3 O) Y2 j; u% Y# }+ o0 M1 B         if(!is_writable(DT_ROOT.'/'.$this->savepath)) return $this->_('Error(24)'.$L['upload_unwritable']); % v' J3 V$ N; {) S4 ]& Z

7 `/ l' z9 P; h& t, ]         if(!is_uploaded_file($this->file)) return $this->_('Error(25)'.$L['upload_failed']);

1 v d& S, Z% k. ^& m

        if(!move_uploaded_file($this->file, DT_ROOT.'/'.$this->saveto)) return $this->_('Error(26)'.$L['upload_failed']);

: C1 G, s0 U1 S

  3 F/ r9 a: A( Y% K. v

0 y. `; {7 X- m' c) E: j

        $this->image = $this->is_image(); ! u/ o! ]' Z6 W9 B' U- J

4 F- H. ?. R2 O% G1 G0 h7 @

7 y; t b7 ^' ~3 Q4 ~2 M3 J+ F         if(DT_CHMOD) @chmod(DT_ROOT.'/'.$this->saveto, DT_CHMOD); # f7 }: V/ k' R6 p' e) G) _* N

        return true;

: a) D% R5 Q8 D" G6 @

    }}

. D6 ]" w( t/ E+ Z, T

先经过几个基本参数的检查，然后调用$this->is_allow()来进行安全检查 include/upload.class.php:72： , h) Q& x0 x M# m

8 y$ t6 t- ]+ Z6 L, a* g* q0 [

' _2 u( U) }+ c <?php

$ v. i4 e {' d$ k

1 s6 G' }. W" S' {" t2 k     function is_allow() { ! C9 W& \$ h2 t( Y; ^4 T. w

        if(!$this->fileformat) return false; 7 p7 T' y0 c; e2 H, _: J

7 }4 y0 N7 P/ r

        if(!preg_match("/^(".$this->fileformat.")$/i", $this->ext)) return false;

        if(preg_match("/^(php|phtml|php3|php4|jsp|exe|dll|cer|shtml|shtm|asp|asa|aspx|asax|ashx|cgi|fcgi|pl)$/i", $this->ext)) return false;

5 v2 b" E& k o/ m4 A7 _/ q

        return true; 9 H2 ~! U6 p: l* B+ P& o

    } 5 b( j( S5 i/ ]! w5 b4 N

: j! h, i! ^# h2 D& Z

, K6 ]" {5 E! I$ n) ]2 ^( { 可以看到这里仅仅对$this->ext进行了检查，如前此时$this->ext为jpg，检查通过。 0 M5 O# F B: `: N2 ?1 C# d" O

+ H( _7 ~ k+ ~; ] 接着会进行真正的保存。通过$this->set_savepath($this->savepath); $this->set_savename($this->savename);设置了$this->saveto，然后通过move_uploaded_file($this->file, DT_ROOT.'/'.$this->saveto)将file保存到$this->saveto ，注意此时的savepath、savename、saveto均以php为后缀，而$this->file实际指的是第二个jpg文件。 " {& L1 u/ Z9 _5 D

K4 `, w5 S. A$ N! y' L

漏洞利用

: E7 m7 t/ o+ g9 ^

综上，上传两个文件，其中第一个文件以php为结尾如1.php，用于设置后缀名为php；第二个文件为1.jpg，jpg用于绕过检测，其内容为php一句话木马(图片马)。

% \4 h* }2 X% R/ @: i% P

+ c' l! l( P: E5 Z6 O   5 Q2 Q2 `0 P. f: [! Y0 m. S

; M- }2 Y. \+ u* [ a( q6 W" w, O

然后访问http://127.0.0.1/file/temp/avatar1.php 即可。其中1是自己的_userid 9 O/ H) ~: D x( [$ X3 B

4 \" \' a& t% v8 S

不过实际利用上会有一定的限制。

第一点是destoon使用了伪静态规则，限制了file目录下php文件的执行。 5 M5 j$ n; s" Z8 S g

0 m4 n, k7 I4 B& g) V: W$ `

+ ^$ n8 _1 u9 o! {   ; ]7 q$ X! Y0 |$ ?1 b, E, M3 P0 v! ]

* g0 D2 t+ |3 z/ @9 k6 @+ k 第二点是avatar.inc.php中在$upload->save()后，会再次对文件进行检查，然后重命名为xx.jpg： " {7 u8 a4 p7 i+ w/ x

3 y8 f* y: \0 z7 O! d2 C0 V8 i, h

/ K9 M. T- q: e 省略...$img = array();$img[1] = $dir.'.jpg';$img[2] = $dir.'x48.jpg';$img[3] = $dir.'x20.jpg';$md5 = md5($_username);$dir = DT_ROOT.'/file/avatar/'.substr($md5, 0, 2).'/'.substr($md5, 2, 2).'/_'.$_username;$img[4] = $dir.'.jpg';$img[5] = $dir.'x48.jpg';$img[6] = $dir.'x20.jpg';file_copy($file, $img[1]);file_copy($file, $img[4]);省略...

0 O2 O, q0 i' }2 W1 Q# K# z

. @- W" s8 C. @0 V 因此要利用成功就需要条件竞争了。

3 I6 M' a/ P4 m# e8 i4 _

3 U# o+ l+ ^5 [& T0 n9 N 补丁分析

0 w4 B1 }9 D& o, S g

  5 ]" }; _7 G7 A+ U# L

3 e$ `0 y& C4 D# B 在upload的一开始，就进行一次后缀名的检查。其中is_image如下：

1 q4 a1 Z0 S( [' }$ |' G

) |2 Q9 Z2 F, y: d/ r- a# v9 a function is_image($file) {    return preg_match("/^(jpg|jpeg|gif|png|bmp)$/i", file_ext($file));}

( Z2 p# W: ]2 d( R

  $ c/ O) w2 D2 p4 s1 z+ p

在__construct()的foreach中使用了break，获取了第一个文件后就跳出循环。

+ k7 f9 k+ o3 i" o8 x* A; H: r3 Y 在is_allow()中增加对$this->savename的二次检查。

. ~# V Y+ Y+ e% E0 B' v1 M$ D

4 t7 w- v6 V4 R4 N( c& z* ?) M1 Y 最后 8 x; [( k8 ^/ w) T

嘛，祝各位大师傅中秋快乐！ ) Q' Q9 m) B. O; N

2 e5 V' V! }, e! y

  ) {) f% w, c1 M. G4 R* H