Destoon cms前台getwebshell

admin

3 {# ], N. _" K; ~

: Z$ G4 p; Z0 T7 E

j+ L. j- \0 B2 p" y

前言

" P1 P. M8 A; N4 d 2018年9月21日，Destoon官方发布安全更新，修复了由用户“索马里的海贼”反馈的一个漏洞。 ; ?) s0 P* |* U5 \

, @: O1 ~% H- i1 X; P

0 y4 B+ Y! l" A3 w- C   # v# U9 H+ g% y4 { u0 M) e- A

1 l9 W6 g7 K0 y* d" d. i$ u. ` 漏洞分析

/ T3 F- H# H& Z: o8 ]( K6 Z# j& v 根据更新消息可知漏洞发生在头像上传处。Destoon中处理头像上传的是 module/member/avatar.inc.php 文件。在会员中心处上传头像时抓包，部分内容如下：

- F7 ?9 {! T7 E( @" `* L  

, w2 Q# p+ f; H. u- Q( q! |3 L 对应着avatar.inc.php代码如下： 3 ^" u- w7 e( ]

<?php defined('IN_DESTOON') or exit('Access Denied');login();require DT_ROOT.'/module/'.$module.'/common.inc.php';require DT_ROOT.'/include/post.func.php';$avatar = useravatar($_userid, 'large', 0, 2);switch($action) {

/ Y* q1 {# ^, z4 Y, d! G# |

8 `6 @, Y5 t& Q( p M+ c5 V+ M     case 'upload': & j9 i( w1 W9 V9 Q4 P# t! `8 {6 X# p% o/ V! ]

0 p9 r& E: U2 }" r, o. P         if(!$_FILES['file']['size']) {

            if($DT_PC) dheader('?action=html&reload='.$DT_TIME); + B4 ~0 G3 w6 ?, o4 y- F G! o

            exit('{"error":1,"message":"Error FILE"}'); r/ V5 l( D) Q: v- m- z. E6 _

5 R" R' a$ T' ~. \0 }# L

        } * Q- W0 t. M$ m; u6 S

, Z( ]! N& w8 S4 k6 N! ]) K) Y         require DT_ROOT.'/include/upload.class.php'; * Z" T) x7 q4 i; }( Z

! `" a4 k' E% H% l" N# k& J# n

  - e/ M: m+ g: v; ^

" s/ o/ z; K& B, a) e* X h

/ T( n5 V6 ]% B$ A/ J         $ext = file_ext($_FILES['file']['name']); 6 O6 q+ J8 M/ x. g! W: E

7 V+ Z" r* y# K5 {

        $name = 'avatar'.$_userid.'.'.$ext; , _% x/ D9 A1 |' A( D6 e0 F( ~

        $file = DT_ROOT.'/file/temp/'.$name; 2 t0 |' z, r7 H4 U. I; _* e

) c! ?: r% f1 R

  $ j3 a. m6 e u" u; r

        if(is_file($file)) file_del($file);

! w: V' c1 b3 t. ~& ^9 Y         $upload = new upload($_FILES, 'file/temp/', $name, 'jpg|jpeg|gif|png');

2 B# e2 K3 o+ w5 F, i8 W$ T   $ P& O: x; U ~( N- h$ S+ q7 j( c' {

        $upload->adduserid = false; 8 J4 ]: f1 L {

  9 B% B2 V( |1 S$ F( M3 w% G% q

        if($upload->save()) { 9 h t! A0 g# s; d* R* H

p$ t! p$ Q9 D4 S

; M, k) v- Y4 z1 e5 M             ... * b$ D. D$ q* S* Y: i

0 s2 e( \" _$ q+ K

        } else { ! Y6 v. p+ Q* E c

5 F4 t) }4 q# h H* z/ @) _

% d7 n/ ` j4 O             ... 0 ]$ X" Z4 ^7 P1 {' `: ~; h7 g

; a6 @+ I4 G5 I

9 X; K% o/ {& i         }

4 e |8 e8 N5 ~# B. i

( Q( U( _' S7 m' [- Z. `$ t1 e     break;

这里通过$_FILES['file']依次获取了上传文件扩展名$ext、保存临时文件名$name、保存临时文件完整路径$file变量。之后通过new upload();创立一个upload对象，等到$upload->save()时再将文件真正写入。 9 C! C+ g) @/ j1 O0 X% O

4 [- s& O0 n% e8 K$ | upload对象构造函数如下，include/upload.class.php:25：

$ e2 P* y$ P2 A: W/ W

<?phpclass upload { 5 h. w" K, R' y; n; D3 t% a

    function __construct($_file, $savepath, $savename = '', $fileformat = '') {

        global $DT, $_userid; ! b: [9 f- s; U0 m! h

7 a7 \0 a& u" M

        foreach($_file as $file) { ) a& G4 _3 h3 z" T2 Q" p. c

% N# K V" g p( ^ D; Z             $this->file = $file['tmp_name']; 7 w/ @- T, W9 t9 v( a& F/ U% M! H

            $this->file_name = $file['name']; 5 ?+ e# a4 M: C+ G! a

            $this->file_size = $file['size'];

/ ~0 ]; x+ `1 J

. a$ m) {6 Y7 M" {             $this->file_type = $file['type'];

, i4 q1 A" P: V8 h

4 _* F! Q0 I9 v. @5 Q- i6 l5 t             $this->file_error = $file['error']; # w, L! Z! s* i' m" b: ?

" N, u8 T8 H: T' u; D   " k) l! }# `* W

# Q/ k4 D. e4 a! I         }

3 z' v" o. j3 {1 Y' p+ F' V2 O

& g1 C% A& e+ o9 o Z+ `         $this->userid = $_userid; . d. J2 u' y, k

        $this->ext = file_ext($this->file_name); , m$ S; m& t4 } l5 s2 J, f( k

        $this->fileformat = $fileformat ? $fileformat : $DT['uploadtype'];

, M$ o4 i+ _9 y( T4 y* I         $this->maxsize = $DT['uploadsize'] ? $DT['uploadsize']*1024 : 2048*1024; & X/ m+ ^3 f" f5 b2 o4 m k/ |2 h

7 d' v4 X6 i- G3 n. j         $this->savepath = $savepath;

! U% c) z+ j# U6 J. B5 a! n! C

        $this->savename = $savename; ( ?5 C! e, z. m4 ~* {

# H7 X2 w& C/ \& o

    }} ' Z! o* ^3 u, O& I: b- n

) n* |) f$ I. f% w# ?2 `. I

这里通过foreach($_file as $file)来遍历初始化各项参数。而savepath、savename则是通过__construct($_file, $savepath, $savename = '', $fileformat = '')直接传入参数指定。 9 e: C" z% m. c% f. a) U2 O3 Y

因此考虑上传了两个文件，第一个文件名是1.php，第二个文件是1.jpg，只要构造合理的表单上传（参考：https://www.cnblogs.com/DeanChopper/p/4673577.html），则在avatar.inc.php中

, M3 @1 P( D: }- ^

$ext = file_ext($_FILES['file']['name']); // `$ext`即为`php` $name = 'avatar'.$_userid.'.'.$ext; // $name 为 'avatar'.$_userid.'.'php'$file = DT_ROOT.'/file/temp/'.$name; // $file 即为 xx/xx/xx/xx.php + s5 s) }8 |1 `

而在upload类中，由于多个文件上传，$this->file、$this->file_name、$this->file_type将foreach在第二次循环中被置为jpg文件。测试如下： 1 e6 g; f+ O$ \. g' U) L

  * Z- F$ i! T a

回到avatar.inc.php，当进行文件保存时调用$upload->save()，include/upload.class.php:50:

h1 X+ L2 G, C! ]7 w <?phpclass upload { ; R' Q9 i/ Z8 Z; f0 p s4 j

6 O" [3 g# z7 S3 |" T4 b# X

" n' y$ X4 Z; M+ J+ v# ]; T* U% a     function save() {

        include load('include.lang');

, h; \7 W9 K+ |6 \         if($this->file_error) return $this->_('Error(21)'.$L['upload_failed'].' ('.$L['upload_error_'.$this->file_error].')'); - q1 J# x5 y* V" _2 N! a3 l

  * F N- A* j ?0 Q7 E

        if($this->maxsize > 0 && $this->file_size > $this->maxsize) return $this->_('Error(22)'.$L['upload_size_limit'].' ('.intval($this->maxsize/1024).'Kb)');

7 |8 _8 W$ V6 K* B0 o3 S2 t

  4 o3 @3 v+ y# z" n# L% n, ]

' d: K7 Y7 R$ q2 H         if(!$this->is_allow()) return $this->_('Error(23)'.$L['upload_not_allow']);

; [$ b% h% N' |. r7 k1 M3 m

 

        $this->set_savepath($this->savepath);

        $this->set_savename($this->savename);

+ y+ T1 F1 h4 l" j  

2 ^8 _& O( Z2 X" i( A( D$ r

. }; K8 _" G; I+ N% i5 s* X         if(!is_writable(DT_ROOT.'/'.$this->savepath)) return $this->_('Error(24)'.$L['upload_unwritable']);

2 y4 T0 Q# E1 @# G* Q         if(!is_uploaded_file($this->file)) return $this->_('Error(25)'.$L['upload_failed']);

. k, n* k1 Q% b! l

        if(!move_uploaded_file($this->file, DT_ROOT.'/'.$this->saveto)) return $this->_('Error(26)'.$L['upload_failed']); ' j: E/ ^7 |' m. p8 h' x

6 K m( e( T8 \2 j

  % Z* o; n% F& S- ?* g" x* X* R5 V+ [! z

3 D9 Z$ ^5 {, y1 D v7 |9 G: A

- g9 F2 n' H ~( S0 h: d! M         $this->image = $this->is_image(); 6 e1 S9 X( X9 \* s7 W- Y

6 e% N3 W/ E# j9 n `6 W' k

7 E' e$ ^4 q0 ]7 }         if(DT_CHMOD) @chmod(DT_ROOT.'/'.$this->saveto, DT_CHMOD); 1 s5 r1 S0 F" ?1 H

        return true;

    }}

0 `2 S2 ?9 k# |4 X& H$ K

4 H# ~5 X8 ?$ q+ N 先经过几个基本参数的检查，然后调用$this->is_allow()来进行安全检查 include/upload.class.php:72：

* j/ e( T6 o/ c% J

1 M4 W8 _ [: T <?php ! j6 T8 ]" L ~/ f- i |3 I

1 {0 V& ?% T! a. e `, i: g     function is_allow() {

n$ `0 w7 r% q5 _         if(!$this->fileformat) return false; 0 u' d T; h) y |' L. O

5 _* {0 L$ E/ L: S

! C8 o8 `3 U3 K- n$ j ?8 a         if(!preg_match("/^(".$this->fileformat.")$/i", $this->ext)) return false;

        if(preg_match("/^(php|phtml|php3|php4|jsp|exe|dll|cer|shtml|shtm|asp|asa|aspx|asax|ashx|cgi|fcgi|pl)$/i", $this->ext)) return false; ( u! ` l# w5 m

; }8 I! N% X9 d7 Y. B- m8 v% ]! n         return true;

6 y8 N4 y9 i$ N& O     }

9 b6 G3 c9 D& G# D8 |- J% z5 C, h

B# c% X. `0 o; }6 ] 可以看到这里仅仅对$this->ext进行了检查，如前此时$this->ext为jpg，检查通过。 * E* ]/ V8 P8 D

接着会进行真正的保存。通过$this->set_savepath($this->savepath); $this->set_savename($this->savename);设置了$this->saveto，然后通过move_uploaded_file($this->file, DT_ROOT.'/'.$this->saveto)将file保存到$this->saveto ，注意此时的savepath、savename、saveto均以php为后缀，而$this->file实际指的是第二个jpg文件。 9 M/ m# a# c. o4 a2 u

( A9 H& n0 o: H4 `. @5 F 漏洞利用 ( e7 u2 w+ Y. L) r. [" l$ [

综上，上传两个文件，其中第一个文件以php为结尾如1.php，用于设置后缀名为php；第二个文件为1.jpg，jpg用于绕过检测，其内容为php一句话木马(图片马)。

. d; K0 n' Z# ~3 q+ x, }2 `

3 O, a+ R9 e- g  

然后访问http://127.0.0.1/file/temp/avatar1.php 即可。其中1是自己的_userid

不过实际利用上会有一定的限制。 ) _- G' J8 E! ~, Y

第一点是destoon使用了伪静态规则，限制了file目录下php文件的执行。 ' ]" w) S1 P. C

" h: e' z/ R$ x% l0 G8 D7 B2 U. s   9 s, o9 s% h7 t! N/ x9 Q

- r3 q; n, }! ~. o; f% B& M

第二点是avatar.inc.php中在$upload->save()后，会再次对文件进行检查，然后重命名为xx.jpg：

8 U2 R7 x- B" w, `8 S. z 省略...$img = array();$img[1] = $dir.'.jpg';$img[2] = $dir.'x48.jpg';$img[3] = $dir.'x20.jpg';$md5 = md5($_username);$dir = DT_ROOT.'/file/avatar/'.substr($md5, 0, 2).'/'.substr($md5, 2, 2).'/_'.$_username;$img[4] = $dir.'.jpg';$img[5] = $dir.'x48.jpg';$img[6] = $dir.'x20.jpg';file_copy($file, $img[1]);file_copy($file, $img[4]);省略...

因此要利用成功就需要条件竞争了。 + r* ?* t c, e

: Z# l- j$ z" y" c& h/ p

5 `& `4 r, P6 @! L 补丁分析

  7 _# |' e9 N9 z0 B8 a

^: J) G7 ]- ?. x& _- [* s8 |4 P 在upload的一开始，就进行一次后缀名的检查。其中is_image如下： + I7 W" ^( X$ ]

+ b0 m W& H5 s function is_image($file) {    return preg_match("/^(jpg|jpeg|gif|png|bmp)$/i", file_ext($file));}

+ k1 H! Y, p7 T. t: x& _5 u3 T

6 Z# V2 P7 i4 p5 e   % k1 `6 H# X* E+ [$ X# |

在__construct()的foreach中使用了break，获取了第一个文件后就跳出循环。

6 `& e; `6 p0 v9 _4 {

在is_allow()中增加对$this->savename的二次检查。 % [$ G- J" y. H

' u( U- o1 _. z* d. q

最后 $ h1 n# j* N0 J8 G6 W9 ^$ j

- S$ {. ~, Q! `$ l. s4 X0 e 嘛，祝各位大师傅中秋快乐！ " U/ B. B# ^# d0 |

$ j- U' g+ y% @& Q3 d3 m4 G   * ~1 I& f- C9 g) W