Destoon cms前台getwebshell

admin

8 ?4 i) A- k: J0 g9 \

前言 2 Y0 L+ r% \, O! r

( s% {0 a2 h+ r- z 2018年9月21日，Destoon官方发布安全更新，修复了由用户“索马里的海贼”反馈的一个漏洞。

9 U v( p1 [4 i' ~- O o' K

+ `0 D% {# K: S9 _% V: f* u3 }   ; H) ~5 M( V) @' ]' M

0 a, c! C# B" x& N/ Y$ k

- i+ |3 o( z5 O 漏洞分析 ) U+ C! R& J) |1 k3 u U: f& y

" [& g ~$ A' B 根据更新消息可知漏洞发生在头像上传处。Destoon中处理头像上传的是 module/member/avatar.inc.php 文件。在会员中心处上传头像时抓包，部分内容如下：

- i; {# L8 I+ M" X8 w2 g0 g, _

 

对应着avatar.inc.php代码如下： 7 p5 y' g) T9 F

( w- z1 H& F/ \

<?php defined('IN_DESTOON') or exit('Access Denied');login();require DT_ROOT.'/module/'.$module.'/common.inc.php';require DT_ROOT.'/include/post.func.php';$avatar = useravatar($_userid, 'large', 0, 2);switch($action) { . F0 }$ n" r5 q; T& J

# z4 ~, \* c# N: e( n6 A     case 'upload':

        if(!$_FILES['file']['size']) { " E; |4 O) R- X# ~8 ~/ z% Y7 I

) o0 k- M ?* C! W0 W5 o             if($DT_PC) dheader('?action=html&reload='.$DT_TIME);

9 U9 i5 P' F) E# _2 O7 K9 K: E

            exit('{"error":1,"message":"Error FILE"}');

* j- D% D9 c, }; o1 S4 A) e* V

        } 8 u5 x. F. |5 o8 H% X9 e

* D% c' o; U: C6 f# P+ x" t$ C+ l

8 f! W: L9 B0 O& F9 x         require DT_ROOT.'/include/upload.class.php'; 9 g8 y- j, L1 u# ^/ f

; O/ [/ v/ S9 ?7 B7 X

/ b) q* c2 |9 d4 V  

        $ext = file_ext($_FILES['file']['name']);

        $name = 'avatar'.$_userid.'.'.$ext; - Y8 i3 ]; j; ?' B( l

        $file = DT_ROOT.'/file/temp/'.$name; & J( h; O$ S: j. t* b$ g

% h$ k1 k" f4 S6 d   / x3 o) t/ v' f, z

- f: W" ]+ K( x' @' u

        if(is_file($file)) file_del($file); 6 {( }+ |- y! W y' d& X

0 n6 s3 v/ G+ M- o+ `. {

# ]6 p) W1 ]2 K) K         $upload = new upload($_FILES, 'file/temp/', $name, 'jpg|jpeg|gif|png');

2 y0 Q2 w& Q. @+ v- U& P5 I   : `% P: c5 ?8 g* G$ g

8 T0 j8 ^1 g9 x) w

        $upload->adduserid = false;

3 _/ t |7 n6 d6 l+ G6 d$ u& A4 z0 `

 

# Z2 i" G% s' {+ N. _

        if($upload->save()) {

            ... ! h; c# G1 o* A0 {, d6 u* q

$ H% h3 j S5 |' v! B" ~ m8 N3 h

        } else {

- p% o6 ^. e) R$ \8 p: G             ...

9 e( _ J4 r9 }. q( G' {% V# Z3 N

$ g7 ?' A2 q; x) e5 X6 @         } ( c# e* X3 ?# N, Q( e5 J

    break;

6 Y7 v, T& z2 w" p/ T 这里通过$_FILES['file']依次获取了上传文件扩展名$ext、保存临时文件名$name、保存临时文件完整路径$file变量。之后通过new upload();创立一个upload对象，等到$upload->save()时再将文件真正写入。 o* Y4 B' i+ y5 m; `( D

5 R1 S7 @) ]! t0 H( V' ^

upload对象构造函数如下，include/upload.class.php:25：

6 B% t: [- |; L! G& U. D' L" a

; \' q+ J9 |. n9 ^8 N- ~ <?phpclass upload { + p$ g, g/ P1 E1 f K4 k' E

    function __construct($_file, $savepath, $savename = '', $fileformat = '') { 4 ~' a6 M, H' C- P. {0 [

- m1 e- T; |3 l N/ J" a         global $DT, $_userid;

0 m% N Z/ P- J. w! y- y N+ o* s

        foreach($_file as $file) {

# V6 ~$ G# G% e/ [: _- A+ z0 d

            $this->file = $file['tmp_name']; ( y4 S" F9 ]3 L3 |( F& d2 m

            $this->file_name = $file['name']; 7 ~7 H& a- M, W1 l2 n, ]

) G! A; I6 _7 A6 ~$ c6 g

            $this->file_size = $file['size']; # F* ?7 e7 `6 f2 J: z. Z7 v

            $this->file_type = $file['type'];

2 X3 b$ j: G2 i3 b' d j- P

            $this->file_error = $file['error']; 0 `* S7 S( P! ?7 J4 P4 a# c

 

2 \ s% P! J& {: M8 d3 i

x: `$ m) s' Q2 a         } 9 v* g' `' ?7 c% I H+ n2 w: T7 c

        $this->userid = $_userid; : E7 ~- V3 n! h

        $this->ext = file_ext($this->file_name); 4 R! s% z1 p5 u9 S. l8 j

# s& l1 D0 I$ a* K* S7 L7 G+ Z3 o

        $this->fileformat = $fileformat ? $fileformat : $DT['uploadtype']; 3 K5 _ d6 M6 x7 W y

+ [1 B/ y" ]5 x* @# L. \4 p

        $this->maxsize = $DT['uploadsize'] ? $DT['uploadsize']*1024 : 2048*1024; : a3 r6 n4 q! d. R5 ]" e P

) _. q9 u m' _+ }6 w, M ^ Y

^2 U9 C4 i$ `% D6 M         $this->savepath = $savepath;

3 t" j2 b. y# X# w |

1 G" u' S, g8 E! @0 N         $this->savename = $savename;

& w2 o% r* g3 _/ q1 m/ W8 {1 e

: t7 Q0 ]4 Y( l/ @- u9 w     }} 1 N: \$ Q, a) t9 s. O! k6 {

+ u) Y9 S3 e$ W: F

这里通过foreach($_file as $file)来遍历初始化各项参数。而savepath、savename则是通过__construct($_file, $savepath, $savename = '', $fileformat = '')直接传入参数指定。 * b: P8 x& h/ A- M% s. T

) \0 g- `. ~% _! S1 N" J" @ 因此考虑上传了两个文件，第一个文件名是1.php，第二个文件是1.jpg，只要构造合理的表单上传（参考：https://www.cnblogs.com/DeanChopper/p/4673577.html），则在avatar.inc.php中

& c0 Q7 n6 c! W, ?4 `. v+ \ $ext = file_ext($_FILES['file']['name']); // `$ext`即为`php` $name = 'avatar'.$_userid.'.'.$ext; // $name 为 'avatar'.$_userid.'.'php'$file = DT_ROOT.'/file/temp/'.$name; // $file 即为 xx/xx/xx/xx.php

9 J! j% O' q' n+ S/ O, u4 w( c: i+ p

而在upload类中，由于多个文件上传，$this->file、$this->file_name、$this->file_type将foreach在第二次循环中被置为jpg文件。测试如下： ; F) s, h% Q/ C9 \( }( N- S' H

& ?+ T2 d6 B7 G% k- W! r

 

% Z8 T& m4 Y" n

8 C( g) h& j7 L! ]7 Z 回到avatar.inc.php，当进行文件保存时调用$upload->save()，include/upload.class.php:50:

8 j) b, d) l2 z% P2 a9 M+ S. H

" V. X, Z; h9 v4 O7 Q/ ` <?phpclass upload {

! Q0 A0 Z' i/ z& ^

    function save() { - ?! r) l( f2 ^1 N# P0 I) e0 G/ H8 v+ ^

+ H" [6 Y% U* @4 n: K% c. k         include load('include.lang'); 8 v6 t$ Z2 x8 M. X8 E

# r, t$ |' ~3 c2 F' h

        if($this->file_error) return $this->_('Error(21)'.$L['upload_failed'].' ('.$L['upload_error_'.$this->file_error].')'); 6 V+ B& I5 z2 O4 Z

" N7 u* F* r* ~& I6 @0 ~

9 `' V3 H! B+ G7 j- u   " a5 m9 @+ E: i' E6 u: d5 U

- N4 K7 K$ y, p         if($this->maxsize > 0 && $this->file_size > $this->maxsize) return $this->_('Error(22)'.$L['upload_size_limit'].' ('.intval($this->maxsize/1024).'Kb)');

( G0 z, Q f5 ?( _- s

 

. n) q* E& n3 Z" A$ P

        if(!$this->is_allow()) return $this->_('Error(23)'.$L['upload_not_allow']); * q% N6 R, J& x

1 b6 J8 s+ r" {5 u7 ?; m

$ B" s/ z4 M' i( j# p  

2 H8 J* S, h. k* e9 b; f

$ L" |$ P7 i% x6 J7 H9 K1 Q) N         $this->set_savepath($this->savepath); # n. D+ x9 ?& L$ v5 {& m# w0 g3 O

. U5 X6 S/ ]8 X9 W

        $this->set_savename($this->savename); 1 y) \- _6 `# B Q

  ( T# `4 A5 Q7 g, ~" U- `

4 x& f! Q! o) Q0 W- A+ m7 T         if(!is_writable(DT_ROOT.'/'.$this->savepath)) return $this->_('Error(24)'.$L['upload_unwritable']); 8 }: ]3 z6 g4 @

$ K2 D s* C- l' b! h

# \/ y; F* M8 X3 ?( Z+ C         if(!is_uploaded_file($this->file)) return $this->_('Error(25)'.$L['upload_failed']); ) d _9 N% ?8 c7 X

* a* y3 E# k+ u         if(!move_uploaded_file($this->file, DT_ROOT.'/'.$this->saveto)) return $this->_('Error(26)'.$L['upload_failed']); 2 I- ^$ N7 E2 y

% i2 O6 h8 D( R

* E& [# J* s5 o) ~# H* x, h   4 M1 I. u3 C6 I, i! B

) g" g; O1 e Q& c8 Q

4 k& y) B- w' B2 H. u         $this->image = $this->is_image(); 9 g" ?1 D9 J5 k) K5 o

6 O& \$ O( A9 B' H) N# d

        if(DT_CHMOD) @chmod(DT_ROOT.'/'.$this->saveto, DT_CHMOD);

' B' p" G7 g* e: L; x

2 W( V1 {- i) D0 ~, W8 R7 |         return true; 2 B3 \2 y; Y& O

1 {: o- C" P# c! O% o

) S$ U' z3 [" X% Q2 Y1 K     }} 3 h! L' A9 S: x# f# a( J! `' m

先经过几个基本参数的检查，然后调用$this->is_allow()来进行安全检查 include/upload.class.php:72：

' l3 [% A) G1 d8 t- V+ b% k# a

<?php

/ C7 W0 S; N" ~/ ~

    function is_allow() {

4 R4 D% R5 t* Y8 Q8 Z0 Z" Q         if(!$this->fileformat) return false;

3 j/ c* l5 L P: d$ t& m9 c

        if(!preg_match("/^(".$this->fileformat.")$/i", $this->ext)) return false; # R' \% w5 L: K2 E4 D3 r: G

8 I) y! {0 Z0 `5 x/ j4 k$ ?         if(preg_match("/^(php|phtml|php3|php4|jsp|exe|dll|cer|shtml|shtm|asp|asa|aspx|asax|ashx|cgi|fcgi|pl)$/i", $this->ext)) return false; / ?, c. p) X u- @

2 u6 d. p- y, q0 ^2 F9 f; o4 k2 L         return true;

: b# ^0 D* F' ^) i

; h2 ?+ Z M3 W9 g! H4 k. u* N     } / f- f4 K/ ^& i+ P0 |1 f& g

' T, x7 ]6 P& D- `4 K& ]9 ]9 A

可以看到这里仅仅对$this->ext进行了检查，如前此时$this->ext为jpg，检查通过。

4 z9 Q' a' P( N2 I! r

/ N' s4 o8 ]7 C# H 接着会进行真正的保存。通过$this->set_savepath($this->savepath); $this->set_savename($this->savename);设置了$this->saveto，然后通过move_uploaded_file($this->file, DT_ROOT.'/'.$this->saveto)将file保存到$this->saveto ，注意此时的savepath、savename、saveto均以php为后缀，而$this->file实际指的是第二个jpg文件。

漏洞利用

综上，上传两个文件，其中第一个文件以php为结尾如1.php，用于设置后缀名为php；第二个文件为1.jpg，jpg用于绕过检测，其内容为php一句话木马(图片马)。 D3 y/ E8 c( K: y

 

% `5 |4 M+ X3 v* K A% O& h

" r4 L( z" m1 p* Z" V 然后访问http://127.0.0.1/file/temp/avatar1.php 即可。其中1是自己的_userid 5 w* J5 [4 h9 V! ~- Z

4 @- u( }/ C2 G

不过实际利用上会有一定的限制。

6 S% Y# o, C) Z5 v0 e1 ^* f

5 a* z3 U# {0 ^, p' {5 ] 第一点是destoon使用了伪静态规则，限制了file目录下php文件的执行。 / h6 N4 @( X1 `+ n2 y- U

* Y& q/ s" K; Y8 L6 S0 \

6 X' M; a9 \/ q* ?5 K' p   ; y; O3 D2 C9 R

第二点是avatar.inc.php中在$upload->save()后，会再次对文件进行检查，然后重命名为xx.jpg：

# Q7 ^. z* ~# Y* ~; r

4 D2 X. G+ V6 C. ^/ M) Z+ F5 } Y 省略...$img = array();$img[1] = $dir.'.jpg';$img[2] = $dir.'x48.jpg';$img[3] = $dir.'x20.jpg';$md5 = md5($_username);$dir = DT_ROOT.'/file/avatar/'.substr($md5, 0, 2).'/'.substr($md5, 2, 2).'/_'.$_username;$img[4] = $dir.'.jpg';$img[5] = $dir.'x48.jpg';$img[6] = $dir.'x20.jpg';file_copy($file, $img[1]);file_copy($file, $img[4]);省略... 0 G7 R+ g* b( B, e) i

6 s% W$ k. w4 e7 N! e3 j* s( Z# |

因此要利用成功就需要条件竞争了。

补丁分析 ! H# b. w* Q8 d3 B/ ~- h8 H

: n- b5 W! ~" u) }0 S3 c

* f. y+ G' a1 [. u; L1 @4 l  

C z5 k6 k8 s* }

! o6 F- Y! R; C) V, Y) D 在upload的一开始，就进行一次后缀名的检查。其中is_image如下： ; o2 a% p& _8 _1 N; j( C0 [* }6 N

' y6 y6 Z+ y3 h" [1 p% [% d

function is_image($file) {    return preg_match("/^(jpg|jpeg|gif|png|bmp)$/i", file_ext($file));}

5 \8 D& n% i. R: d7 R1 D  

在__construct()的foreach中使用了break，获取了第一个文件后就跳出循环。

在is_allow()中增加对$this->savename的二次检查。

4 c i+ A7 |% P& c: W

. S: b8 H( ?) I! ]$ [, h' N 最后 ! M1 M! d# z" W" r7 F1 }4 c, m

0 h N6 i4 ]! x1 g

嘛，祝各位大师傅中秋快乐！

* }6 U- {* H! n

3 M6 k8 \5 ^2 A   / D0 W0 s' m( {" X+ P% y

) S6 @6 |" ]; `, ]