Destoon cms前台getwebshell

admin

, m! m/ M3 W4 g! z# W# X7 c" `

$ c5 s" |) r* b) s3 m! [

前言

2018年9月21日，Destoon官方发布安全更新，修复了由用户“索马里的海贼”反馈的一个漏洞。 " e3 y9 F! ?) |4 e# f( q- n

: H% U9 d& W6 B6 F$ V* Q) ^# m) y4 Y

 

# q! g: f0 v8 Y' Q, U; Z8 R 漏洞分析

* [1 x k- _$ o: t

$ S% d0 o3 e, w4 [, a5 J" i g 根据更新消息可知漏洞发生在头像上传处。Destoon中处理头像上传的是 module/member/avatar.inc.php 文件。在会员中心处上传头像时抓包，部分内容如下： C/ f7 b' r0 S5 f- b6 ?

2 m9 [$ ^/ |7 d3 F! h* ?

9 i! x* p1 k3 M: X8 u* @   7 ^5 {4 P/ t' }7 t) v, D& S2 F

- X& i5 `. Z" @# n: w 对应着avatar.inc.php代码如下： : Y+ y) O/ A8 w! L" Q

<?php defined('IN_DESTOON') or exit('Access Denied');login();require DT_ROOT.'/module/'.$module.'/common.inc.php';require DT_ROOT.'/include/post.func.php';$avatar = useravatar($_userid, 'large', 0, 2);switch($action) { 0 n, T1 ^9 Y3 z/ b# y3 q% t5 f: c, x7 p

^. e+ q! a* Y$ O0 q" ^" Q

0 A7 T P$ K( V+ w( _. d     case 'upload': & \& p& L9 c' ?+ q

: J$ t; l1 F& Q! {

        if(!$_FILES['file']['size']) {

: g0 e" r* {8 j3 n$ E' d

+ ~% {5 X! c r9 j6 m' p             if($DT_PC) dheader('?action=html&reload='.$DT_TIME);

" |7 r7 I8 X& F6 S; U             exit('{"error":1,"message":"Error FILE"}'); ; d) f& O) j: j& x# o- ?

, @: L( ~! ], x L

        }

        require DT_ROOT.'/include/upload.class.php';

8 K1 ~; i4 Q4 P* w

 

        $ext = file_ext($_FILES['file']['name']); & _% W% k, F9 u: u2 v! u

        $name = 'avatar'.$_userid.'.'.$ext; + M) }0 }. l% Q( L- o9 e

% }, n j. B7 e) }         $file = DT_ROOT.'/file/temp/'.$name; # B; w2 ~5 k& t: b

6 h2 W) Z: q# G! Z  

        if(is_file($file)) file_del($file); 3 r' m8 }: A9 B6 u6 T3 F! U

: R$ P( Z p) a- b1 \0 M2 z

        $upload = new upload($_FILES, 'file/temp/', $name, 'jpg|jpeg|gif|png'); ; a) p6 E- M* c2 d% p8 [5 ^9 w

S' s( @% C# v' Y6 g

8 S' B8 s+ i+ A- b4 s   2 W& y/ r; N' a6 @) C1 n6 J9 U

; j- @/ o" q1 W% d9 t

s6 `% F* p# J& l* Y. f5 E# h% T         $upload->adduserid = false; % B4 O# x' _3 X

% w/ ]. W- u+ y7 o6 S

  7 i6 E4 D E9 L+ J+ K4 o

7 ^4 B7 N, q1 `+ a- {

6 e: ]; |) T( l( J; M5 V) [         if($upload->save()) {

            ... 4 b0 r, S5 J6 O; c) |3 p7 @

        } else {

& Z- M7 V1 y, t' O; D. c

- s. g' D& P, @& {$ S             ...

* i) F1 J8 O2 w( M$ F6 {

' u# j7 s, m \+ y         } 9 x$ O" q' X; r

    break;

& w7 `) _8 O2 e! s# u1 _# M

这里通过$_FILES['file']依次获取了上传文件扩展名$ext、保存临时文件名$name、保存临时文件完整路径$file变量。之后通过new upload();创立一个upload对象，等到$upload->save()时再将文件真正写入。

' W- G4 Q, N9 J upload对象构造函数如下，include/upload.class.php:25： - T" T3 [% p; b+ U. [. a$ b

! {6 \, }9 D/ ?/ x/ W

<?phpclass upload {

- z% ^( o7 u* h Z     function __construct($_file, $savepath, $savename = '', $fileformat = '') {

        global $DT, $_userid; . i0 Q4 o5 m0 `

5 M+ x: a2 H, i) u1 @

        foreach($_file as $file) {

- R* \/ h; `5 L7 _ b

5 i. c' F+ D) d7 R             $this->file = $file['tmp_name'];

. n" ^+ [6 c; Q6 ]

4 }$ i+ A; |; ^* y" O N! @7 I# t             $this->file_name = $file['name'];

- x/ }, k& ~9 ~ g$ a# ~

            $this->file_size = $file['size']; + V* m, M# o7 F% @

# D* `: w4 W6 C& |3 b) r# a

- J u% T; {+ h: |' |! V             $this->file_type = $file['type'];

            $this->file_error = $file['error']; $ Q5 s: z, f& a( V7 J: t9 {

  " f7 A. C+ |7 _

: n9 \, n( G2 B. h8 z         } 2 U: u9 y1 o2 ?/ G/ Y* J+ T

/ d% W3 a- M, u+ ]4 a1 K* V         $this->userid = $_userid; , O T6 G& n+ j! T' D

9 {. \; i7 ^" g0 s% r6 o1 b" f         $this->ext = file_ext($this->file_name); + }. N% a& a# v N+ F- e

        $this->fileformat = $fileformat ? $fileformat : $DT['uploadtype']; , s$ P! O8 l/ j0 {- e$ @9 u0 {# C

0 @0 w: X V5 q2 k

        $this->maxsize = $DT['uploadsize'] ? $DT['uploadsize']*1024 : 2048*1024;

% J! {4 a7 L8 j) v4 X- M. Q

        $this->savepath = $savepath;

        $this->savename = $savename; " ?& a( n2 g2 g2 m+ b8 L4 r. i! F8 I

- ?4 Q# H: a5 C1 t     }}

这里通过foreach($_file as $file)来遍历初始化各项参数。而savepath、savename则是通过__construct($_file, $savepath, $savename = '', $fileformat = '')直接传入参数指定。 1 c/ f& L' g7 K5 W) v7 O9 \

) N8 T6 g2 n2 i* n- y8 V 因此考虑上传了两个文件，第一个文件名是1.php，第二个文件是1.jpg，只要构造合理的表单上传（参考：https://www.cnblogs.com/DeanChopper/p/4673577.html），则在avatar.inc.php中 5 }' X6 d/ |; h5 q, h

$ext = file_ext($_FILES['file']['name']); // `$ext`即为`php` $name = 'avatar'.$_userid.'.'.$ext; // $name 为 'avatar'.$_userid.'.'php'$file = DT_ROOT.'/file/temp/'.$name; // $file 即为 xx/xx/xx/xx.php

7 c" t# _* M$ k6 G4 c

8 _! v- l" Z [( {3 v- ~# L 而在upload类中，由于多个文件上传，$this->file、$this->file_name、$this->file_type将foreach在第二次循环中被置为jpg文件。测试如下： ! j& {8 J% ^, ~ e

! h4 z* o! _" t  

回到avatar.inc.php，当进行文件保存时调用$upload->save()，include/upload.class.php:50: ! v2 s5 _) }0 \* x

<?phpclass upload { ( ]# ^/ h1 |6 d# b: i% c

6 R* w8 [$ W+ U% K; M& c0 u8 f$ `

) @1 N* h7 l/ d; W8 y9 v     function save() {

, [ b- M' G! b

" ?- G1 u- Z% H0 D% t         include load('include.lang');

        if($this->file_error) return $this->_('Error(21)'.$L['upload_failed'].' ('.$L['upload_error_'.$this->file_error].')'); 6 `0 G- u- m, {" \& ]

, h, A1 X# P+ K4 {3 X) @

 

        if($this->maxsize > 0 && $this->file_size > $this->maxsize) return $this->_('Error(22)'.$L['upload_size_limit'].' ('.intval($this->maxsize/1024).'Kb)');

1 \1 s. ~6 f4 r+ Y8 g5 ^

  9 P1 M g% C2 N: Y* g

6 |) ]/ c3 D0 |5 A3 b. M* C! ?         if(!$this->is_allow()) return $this->_('Error(23)'.$L['upload_not_allow']);

4 e1 D. P1 l7 a8 _* l& c# I; y5 J, ~

 

; {8 v0 u7 ?0 r2 c$ w         $this->set_savepath($this->savepath); % i5 G( q- @2 A/ `3 K

5 [1 U v* v0 Z/ t( j; M4 L* c

        $this->set_savename($this->savename);

3 A( W0 J( _ V1 s! }

 

9 L. x: |# h: z. J6 Z0 ~2 D

. r% w. ?, {. V         if(!is_writable(DT_ROOT.'/'.$this->savepath)) return $this->_('Error(24)'.$L['upload_unwritable']); 6 Q( D! w' d; {3 U, L. R

2 {4 S" ]* R. ?

        if(!is_uploaded_file($this->file)) return $this->_('Error(25)'.$L['upload_failed']);

% w6 k1 @/ b4 @" b% t

        if(!move_uploaded_file($this->file, DT_ROOT.'/'.$this->saveto)) return $this->_('Error(26)'.$L['upload_failed']); + N8 s9 g r6 u3 `4 p8 f- {7 D; L

* ?+ i4 y5 l* | a; F

% ~$ I/ K% s d% ^' B% p( }   0 g8 a+ G( W9 S6 @

: A( q. A. Z) Y, d$ n e; M

        $this->image = $this->is_image();

        if(DT_CHMOD) @chmod(DT_ROOT.'/'.$this->saveto, DT_CHMOD); ' o3 M4 r& k, z. C

- X: d5 I9 b$ g: ]+ l |8 D

        return true; " @1 ^* A2 e+ G. X! D% c4 y

    }}

9 D5 t1 r% [, C0 R 先经过几个基本参数的检查，然后调用$this->is_allow()来进行安全检查 include/upload.class.php:72：

8 o( u5 ~4 R' k; W" ?

<?php 9 A8 j6 B$ j! x" Q

3 O- D+ J$ b( c- I: j1 y/ p     function is_allow() { 8 k: U ^0 Q" X$ \" ?

- j5 ?! [' m2 l* l         if(!$this->fileformat) return false;

$ k( r6 u: G7 d, y5 w) I

        if(!preg_match("/^(".$this->fileformat.")$/i", $this->ext)) return false;

4 U) G% H! \- X# v J: X" v

        if(preg_match("/^(php|phtml|php3|php4|jsp|exe|dll|cer|shtml|shtm|asp|asa|aspx|asax|ashx|cgi|fcgi|pl)$/i", $this->ext)) return false;

        return true; % N# q( U: h0 B+ b9 L, Z. _

' E5 e6 Z1 O. A8 P4 S9 K

8 V" B4 ~! M+ x2 N0 M; r     } * \2 G! R3 A7 d& s! ^+ e; {, w

1 N9 D- I+ R$ ~; o

可以看到这里仅仅对$this->ext进行了检查，如前此时$this->ext为jpg，检查通过。 0 r! H5 ?( A, E0 ~* r

接着会进行真正的保存。通过$this->set_savepath($this->savepath); $this->set_savename($this->savename);设置了$this->saveto，然后通过move_uploaded_file($this->file, DT_ROOT.'/'.$this->saveto)将file保存到$this->saveto ，注意此时的savepath、savename、saveto均以php为后缀，而$this->file实际指的是第二个jpg文件。 7 b" O- j4 _; w. u

- X+ `, g$ ]' A4 | 漏洞利用 - J+ U$ Q' j) E* S4 N/ H

; w, I1 T7 b3 W 综上，上传两个文件，其中第一个文件以php为结尾如1.php，用于设置后缀名为php；第二个文件为1.jpg，jpg用于绕过检测，其内容为php一句话木马(图片马)。 + x) M9 w+ b# f$ w3 d e$ q

1 p- G) Z; H8 @7 ?+ K

- k z2 g. d& y( D; t9 E- d( @1 R  

8 L/ c# O t( D! p/ k& q- |

然后访问http://127.0.0.1/file/temp/avatar1.php 即可。其中1是自己的_userid

9 v5 n) S2 j m2 U1 y$ `

不过实际利用上会有一定的限制。 7 M" r% ]* @5 ~. ^9 Y

! v: t' ?. y/ u9 c$ W 第一点是destoon使用了伪静态规则，限制了file目录下php文件的执行。 ) ^( ]! D( |5 P- F+ Z

2 u, M/ s3 z7 V1 c4 m+ w" W; m2 D

6 S9 L2 `" ?& B' b9 q  

) b; v |* C* f7 G" `; b

" \0 p$ w/ _7 J 第二点是avatar.inc.php中在$upload->save()后，会再次对文件进行检查，然后重命名为xx.jpg： 9 S9 @% ? w' w; K4 y) m

省略...$img = array();$img[1] = $dir.'.jpg';$img[2] = $dir.'x48.jpg';$img[3] = $dir.'x20.jpg';$md5 = md5($_username);$dir = DT_ROOT.'/file/avatar/'.substr($md5, 0, 2).'/'.substr($md5, 2, 2).'/_'.$_username;$img[4] = $dir.'.jpg';$img[5] = $dir.'x48.jpg';$img[6] = $dir.'x20.jpg';file_copy($file, $img[1]);file_copy($file, $img[4]);省略...

" o9 \% x) W1 `9 ^ 因此要利用成功就需要条件竞争了。 7 p- M/ d9 a \/ A

6 A% r% R0 L- E6 E! M

" X2 |/ w# l1 T( M% k) F+ U 补丁分析 2 l) G) T" B- a' I

& f) a6 [- l) u O* C

 

在upload的一开始，就进行一次后缀名的检查。其中is_image如下： # K' ?' k7 B- F# f* d' f

, B" Z/ J: K" ^ h6 U; D function is_image($file) {    return preg_match("/^(jpg|jpeg|gif|png|bmp)$/i", file_ext($file));} - U3 B* c& U9 j# g

+ U7 @% h0 f* D& b* i$ c- U5 @" @

4 t5 Z1 I1 } |3 T   # P& Z' b( M q% ~% S

) V9 Y( w# H; U 在__construct()的foreach中使用了break，获取了第一个文件后就跳出循环。

, U1 P$ z T7 U

在is_allow()中增加对$this->savename的二次检查。

% x, X- t$ p- K- L- G 最后

- C3 r$ ]& a% H) R+ V/ i1 g* N 嘛，祝各位大师傅中秋快乐！