Destoon cms前台getwebshell

admin

1 i# y! q9 b4 Q% p

$ J9 h8 z+ [" T7 l

前言 % P6 c8 F0 j3 j# ?' |' V/ w9 r8 ~

0 A& `1 S( ?/ ~5 F1 n! X 2018年9月21日，Destoon官方发布安全更新，修复了由用户“索马里的海贼”反馈的一个漏洞。

 

4 m3 c# S8 R9 u& }

4 t; x) y# j1 G 漏洞分析 % Y+ Z" l# ? C

根据更新消息可知漏洞发生在头像上传处。Destoon中处理头像上传的是 module/member/avatar.inc.php 文件。在会员中心处上传头像时抓包，部分内容如下：

o7 E- M) F( V$ _6 [

, x) I$ G- ^6 @, m4 L# ]2 Z   7 {; g q+ }5 b8 f! r, D( L

" V; y. b! t, K+ S y% T 对应着avatar.inc.php代码如下：

- _8 W q0 w3 e6 P `9 k" O

<?php defined('IN_DESTOON') or exit('Access Denied');login();require DT_ROOT.'/module/'.$module.'/common.inc.php';require DT_ROOT.'/include/post.func.php';$avatar = useravatar($_userid, 'large', 0, 2);switch($action) { ; i3 Y4 ^0 W! Q

! Q( L7 P1 f* @, p- p     case 'upload':

+ f6 H8 S* l2 D7 D! d3 }

- a8 V7 q, Q7 O) N! l/ D         if(!$_FILES['file']['size']) {

# {! j3 w5 ?) u             if($DT_PC) dheader('?action=html&reload='.$DT_TIME); 0 \7 m+ l9 S6 i

4 X9 r+ Z" M4 P U) i, j& j: X

- X( v! E7 b8 K, K% B, U3 Z             exit('{"error":1,"message":"Error FILE"}'); " E& n/ G. ]/ c. o8 s' G1 _; W

- @! ~% J) s9 }. R0 _; P

, a+ U* O. G7 x! I6 {+ }         } - j' f# ? z; i8 G: g

        require DT_ROOT.'/include/upload.class.php';

) E8 k: F. z8 \

  2 x* F& V2 s8 w& C

% _6 o- c+ F: S$ V: q4 \         $ext = file_ext($_FILES['file']['name']); . x0 X% Z. [0 B+ Z4 _- B/ W

        $name = 'avatar'.$_userid.'.'.$ext; 7 s( L- Z0 }$ V7 b

0 T9 G! f. I% l/ C% X         $file = DT_ROOT.'/file/temp/'.$name; 8 h$ R1 G1 V3 U* f5 O* C$ Y

/ R3 B. n3 [& ^5 y" f% {; o

 

9 m% j) A- q* q/ L) @3 e3 Z4 U         if(is_file($file)) file_del($file); # z; b6 |; t* t6 C

        $upload = new upload($_FILES, 'file/temp/', $name, 'jpg|jpeg|gif|png'); 3 B4 F7 w4 e2 J [& I# q) A* j$ _

- }3 g! q/ d; u) L% y6 [

  ; y/ k' [: G( t

8 V/ l2 C' X1 {" D- K ^         $upload->adduserid = false;

8 t0 C+ K: G" S! K

! l G& ~7 s3 Y  

& Q& i% ]* x% N- Y- U b+ Z

        if($upload->save()) { # F( v4 \) `# _3 T

            ... % n1 B) j& K' t2 j4 h2 w

* C5 [( y6 L0 a" L4 u% N2 c         } else { ; Y ?' |/ }$ ~; N" l. b

/ _- s) q: t; h8 j5 |4 T! v; ~             ...

. d; r! |3 o; ^7 E3 \" z- _

& T! K1 a! }3 y7 h; W         }

- b D, [0 c* D, E5 d( ^% |2 Q

: S4 p1 d. E1 [! t     break;

8 X" D- L& y( H5 Z9 Y6 n T

* o; p4 q; \+ Q! } q/ G 这里通过$_FILES['file']依次获取了上传文件扩展名$ext、保存临时文件名$name、保存临时文件完整路径$file变量。之后通过new upload();创立一个upload对象，等到$upload->save()时再将文件真正写入。 : X0 L8 o$ m/ x

0 R% ^2 k( q; {# F upload对象构造函数如下，include/upload.class.php:25：

& ^2 o# p# R. c0 e q

<?phpclass upload {

, k. ]9 m, D* o N# A$ K$ Z

    function __construct($_file, $savepath, $savename = '', $fileformat = '') {

" m4 a4 X. B2 `$ H& S

        global $DT, $_userid;

& A; ~2 K2 N: e) g/ n. S

        foreach($_file as $file) { & y5 b# S* F$ }) v: h3 n* f

; t8 p; p# n) M1 w3 r1 n             $this->file = $file['tmp_name']; $ C/ w" @% G K8 F3 {- l

, b2 U3 k2 A ^- ^) x5 W2 v- {8 n! D             $this->file_name = $file['name'];

0 h* l! F$ ^# j: S

            $this->file_size = $file['size'];

            $this->file_type = $file['type'];

9 { L1 m, E+ I) [. a6 X, ^. {

            $this->file_error = $file['error'];

3 K5 J. D9 N6 P. ~- g, ~' x0 w

  ! {8 H0 X3 w( c4 |; _3 f

3 K6 X7 Y3 [4 g# I6 X1 M, q

        }

        $this->userid = $_userid; ' L0 V4 `' d+ b: A; ^) S. t. m

' r0 x3 l( y4 F+ a% x6 a         $this->ext = file_ext($this->file_name); 1 m1 R! \! [: ]( R+ y

0 T5 k+ K/ \) r: ?: r         $this->fileformat = $fileformat ? $fileformat : $DT['uploadtype'];

- u8 V) n+ B) F" g3 m7 \/ p4 F

) k3 t( R4 j& F. t) T% Y# {         $this->maxsize = $DT['uploadsize'] ? $DT['uploadsize']*1024 : 2048*1024; 1 Y* u' N9 }! {

/ i" @$ V: i+ {6 k* X         $this->savepath = $savepath;

' H! I1 C- [3 k2 E- K# [1 L

, C4 C' M/ H7 ~2 j/ w+ F3 d         $this->savename = $savename;

    }} " r, |2 ?( a' u; l

这里通过foreach($_file as $file)来遍历初始化各项参数。而savepath、savename则是通过__construct($_file, $savepath, $savename = '', $fileformat = '')直接传入参数指定。 6 B6 ^' C* `1 G2 W2 W/ `" K

8 f! y" f5 v4 q' P, A- ~

因此考虑上传了两个文件，第一个文件名是1.php，第二个文件是1.jpg，只要构造合理的表单上传（参考：https://www.cnblogs.com/DeanChopper/p/4673577.html），则在avatar.inc.php中

# y6 [, a1 }: h/ a( `) o $ext = file_ext($_FILES['file']['name']); // `$ext`即为`php` $name = 'avatar'.$_userid.'.'.$ext; // $name 为 'avatar'.$_userid.'.'php'$file = DT_ROOT.'/file/temp/'.$name; // $file 即为 xx/xx/xx/xx.php # }1 m2 C4 W6 U5 D z" t: S

* u& [ m3 \) i+ w

' W. e# u7 {3 Y) y2 P7 ?6 | 而在upload类中，由于多个文件上传，$this->file、$this->file_name、$this->file_type将foreach在第二次循环中被置为jpg文件。测试如下：

# B) Z1 l: O8 R' s1 W; v

 

回到avatar.inc.php，当进行文件保存时调用$upload->save()，include/upload.class.php:50:

, x" q, w; J; M; Q( [ Z

<?phpclass upload {

8 U, c# e) X) H( M6 ~) x! G

    function save() {

: Y e( k, M9 Y+ v3 @7 B

, F1 B( J. W( x) s# q, M# D3 S         include load('include.lang');

4 d7 y9 J2 Q. K9 P# e         if($this->file_error) return $this->_('Error(21)'.$L['upload_failed'].' ('.$L['upload_error_'.$this->file_error].')');

) n: w/ }" z! d& ]+ v   - f @/ K# x8 r% {9 H

        if($this->maxsize > 0 && $this->file_size > $this->maxsize) return $this->_('Error(22)'.$L['upload_size_limit'].' ('.intval($this->maxsize/1024).'Kb)'); 5 e7 m& b7 G {5 n* F( @4 J

/ ^- }. H+ V, a4 H q w   5 t3 ~' O+ S) o) h d; }

        if(!$this->is_allow()) return $this->_('Error(23)'.$L['upload_not_allow']); % q6 U' c2 a+ A+ n

  % b. e# Q! y( Z6 v

9 K1 A9 B6 g; M0 |! }9 }- e4 b

        $this->set_savepath($this->savepath);

        $this->set_savename($this->savename);

0 H3 B- n! d( b$ s7 |

% x+ U+ x3 @7 f+ V$ n   # L1 z" d% ^6 U" y

        if(!is_writable(DT_ROOT.'/'.$this->savepath)) return $this->_('Error(24)'.$L['upload_unwritable']); 8 Y9 e0 p7 [6 C' B, \2 k6 N

; l# B# |; s& f. N% G5 ` o

        if(!is_uploaded_file($this->file)) return $this->_('Error(25)'.$L['upload_failed']);

        if(!move_uploaded_file($this->file, DT_ROOT.'/'.$this->saveto)) return $this->_('Error(26)'.$L['upload_failed']);

6 Z+ Z+ b( x$ `0 |# v" H   ; s/ F( g9 K# D9 v% M

9 B9 [) I/ G C' `         $this->image = $this->is_image(); 9 H: ^' [% f6 \0 ?

% V# H/ N' J0 g6 V, u

" [( p* X; t7 Z4 c7 [; n         if(DT_CHMOD) @chmod(DT_ROOT.'/'.$this->saveto, DT_CHMOD);

* H! `- `# [1 l1 u5 E

        return true; - A# b. ?. V' ~4 ?8 b

( y% L; |' _& z' q7 Y

    }} . ]/ l" U3 B2 t5 W

2 [4 w3 m+ k. y6 W& C$ _ 先经过几个基本参数的检查，然后调用$this->is_allow()来进行安全检查 include/upload.class.php:72：

<?php

@2 Z$ ~4 s! |' N- I: g; b5 n

    function is_allow() { $ m: [( X" k8 h O+ O' l- r% h

5 R8 p: i$ F: }* @

        if(!$this->fileformat) return false; 9 Q5 W# Y v* q3 ` |

+ E0 l6 Z8 ?. I3 U6 Z

3 g9 |) [, J. h' b6 k7 \         if(!preg_match("/^(".$this->fileformat.")$/i", $this->ext)) return false; . \- e( M$ n' \! h- s

' K+ x$ w: Z8 H) g% [" R% L% i1 O

6 F" C. y0 |' b# j: D+ r) `         if(preg_match("/^(php|phtml|php3|php4|jsp|exe|dll|cer|shtml|shtm|asp|asa|aspx|asax|ashx|cgi|fcgi|pl)$/i", $this->ext)) return false;

; r9 `3 J0 ]7 F2 b) r/ m7 [7 b

        return true;

5 [6 @. E$ s0 Z/ o1 K- G- S     } S% T# g' w7 h$ {7 B

$ ]9 P+ V' I4 _& R) ^% e

可以看到这里仅仅对$this->ext进行了检查，如前此时$this->ext为jpg，检查通过。 . W4 p$ z) i# X& ~! k# X" \

: q* Y1 Y5 {, Y- f2 N; L. ]" p4 _ 接着会进行真正的保存。通过$this->set_savepath($this->savepath); $this->set_savename($this->savename);设置了$this->saveto，然后通过move_uploaded_file($this->file, DT_ROOT.'/'.$this->saveto)将file保存到$this->saveto ，注意此时的savepath、savename、saveto均以php为后缀，而$this->file实际指的是第二个jpg文件。 7 u$ q0 d/ j6 [& z4 ^

漏洞利用 r, n$ A6 V2 W: N9 Y, C9 F

a' ~4 a2 V; A. ]9 N% [/ R/ G 综上，上传两个文件，其中第一个文件以php为结尾如1.php，用于设置后缀名为php；第二个文件为1.jpg，jpg用于绕过检测，其内容为php一句话木马(图片马)。 4 R% X) S. T; a( o& ~7 i7 D

, f' i8 [, x/ x# u: F

  5 D5 l0 m2 @( D# B7 v! h

9 [# x3 q: ~) |2 b0 R 然后访问http://127.0.0.1/file/temp/avatar1.php 即可。其中1是自己的_userid

& A Z( W2 _, T( `- A* N$ X

( g# \- ~% z5 x" j 不过实际利用上会有一定的限制。 , d* g) \, k! _( h7 z6 T7 t7 y6 L- g

2 A1 U4 x5 \1 \$ W. C0 m

第一点是destoon使用了伪静态规则，限制了file目录下php文件的执行。

* W$ e7 ^! X* f2 i

  , i _" {6 t; C" Y* S7 R- r

% F( _; K6 L5 V: Y w+ b( @) W' d

* V3 a6 @5 F0 u9 O/ K/ t7 Y3 [* n 第二点是avatar.inc.php中在$upload->save()后，会再次对文件进行检查，然后重命名为xx.jpg： + w+ }! B- E! f% v

6 L. z2 k! K! J/ C

省略...$img = array();$img[1] = $dir.'.jpg';$img[2] = $dir.'x48.jpg';$img[3] = $dir.'x20.jpg';$md5 = md5($_username);$dir = DT_ROOT.'/file/avatar/'.substr($md5, 0, 2).'/'.substr($md5, 2, 2).'/_'.$_username;$img[4] = $dir.'.jpg';$img[5] = $dir.'x48.jpg';$img[6] = $dir.'x20.jpg';file_copy($file, $img[1]);file_copy($file, $img[4]);省略...

# ~4 s0 a2 T/ a2 V$ { 因此要利用成功就需要条件竞争了。

3 M8 V1 h) v' a z

! @7 k: l$ q% M: }+ v4 L+ g) p 补丁分析 ( D% J- {. w5 b5 H" s$ ~

 

! F; D$ B% A @

* h2 v/ Y/ U" J9 Y. h0 n" q$ E4 S 在upload的一开始，就进行一次后缀名的检查。其中is_image如下：

) X, T/ n: @+ O$ H# o

function is_image($file) {    return preg_match("/^(jpg|jpeg|gif|png|bmp)$/i", file_ext($file));}

  $ _! t1 h1 }5 I9 v" u0 `: f

: q& U2 V" d: d9 L! @. y# M

0 j U6 @# r0 \1 q' e 在__construct()的foreach中使用了break，获取了第一个文件后就跳出循环。

; n3 O5 x+ G% }* E! j" v6 |( b: o! c 在is_allow()中增加对$this->savename的二次检查。 + x& }3 S h4 B \

+ ~3 H0 I8 i- b+ d9 @; H2 A 最后

! k0 r; S4 o, h0 R! M" L8 A

" b2 Q1 g* i7 i0 I 嘛，祝各位大师傅中秋快乐！ 7 ~+ w% Y# o6 w

# v* }; p" ^( {: Y5 V. a

5 n4 _" m3 T: v6 H  

4 S1 F- J. M0 p% ^& X7 s