Destoon cms前台getwebshell

admin

" r& @* `& U; l$ }; h: h9 H

; D9 u2 Q m7 |. T 前言 ' T; p( L3 O- i* h2 z8 Y4 ]

4 ~& _9 S% G2 n$ N n

2018年9月21日，Destoon官方发布安全更新，修复了由用户“索马里的海贼”反馈的一个漏洞。

+ G- a q1 ^; G. o

* q" @/ n0 O9 ]: e* \   ; U! [0 R6 w2 I3 \; s

% k6 Q9 z/ o: l+ o) [* Q 漏洞分析 , G) G# k+ [) v c

2 M* Q: t* R: l" j8 [" L( e0 A

' b3 j; X4 V/ ~/ K/ D( E C 根据更新消息可知漏洞发生在头像上传处。Destoon中处理头像上传的是 module/member/avatar.inc.php 文件。在会员中心处上传头像时抓包，部分内容如下： - ]: j" H( I: q9 Y

. T T0 c* _+ C* s

  # n% H3 ~) w' C% G& z

1 l$ R% [' ?! T$ y% f+ h

对应着avatar.inc.php代码如下： ' h$ o3 Z) F* I2 |2 M

' i9 P: V9 L: r1 K4 _

/ @* N" f7 y4 S: q, D, _) I9 P <?php defined('IN_DESTOON') or exit('Access Denied');login();require DT_ROOT.'/module/'.$module.'/common.inc.php';require DT_ROOT.'/include/post.func.php';$avatar = useravatar($_userid, 'large', 0, 2);switch($action) { 2 N, ?' q r0 H0 j3 M J3 v

. Y; I8 Z o6 h; X5 j     case 'upload': 8 i4 X. P' M# c0 \

        if(!$_FILES['file']['size']) { " Y ~4 |9 U6 O; |

            if($DT_PC) dheader('?action=html&reload='.$DT_TIME);

/ J7 _, p$ f, s* W) x! d w

            exit('{"error":1,"message":"Error FILE"}'); 4 Z; D* {% X4 C& X

        }

7 L1 X/ e' x, O

# l) B! Y. G _+ c% m$ `         require DT_ROOT.'/include/upload.class.php';

# |+ v+ M+ }, w- c

/ P. x+ a! K/ R) r$ u   9 f& a" @3 }/ i A

        $ext = file_ext($_FILES['file']['name']);

0 E' T' n; v& w

# a* I' B# n% g% _% w5 C         $name = 'avatar'.$_userid.'.'.$ext; N/ O4 f7 [. O% r! p' Z- ?/ p- H

& ~( j4 ~! }# r' \ Y2 b& x1 [$ k         $file = DT_ROOT.'/file/temp/'.$name;

& [% e2 g7 i: `6 r8 l- n' s

 

( f/ D( b# S O' @7 U6 J

        if(is_file($file)) file_del($file); 9 M1 u: i' @% Q% n# }+ s

+ O0 h! ^3 {8 Z5 T5 V

. z9 T: ^4 Z0 `5 ]1 V" U1 T+ D) g         $upload = new upload($_FILES, 'file/temp/', $name, 'jpg|jpeg|gif|png'); ) h+ I8 H7 i+ @; J5 g& k

; N( a$ P: } H ?' B3 ^  

) A+ i6 }- h" b2 E. u

        $upload->adduserid = false;

  2 R( y# \4 R$ }! Z7 p% ~) v

' o5 F2 I) ~/ U( N         if($upload->save()) { 0 {! N u, {) a3 y- U5 T- z

8 t K7 L( E, O' l             ...

        } else {

1 n$ f+ Z! @9 A7 B& L& Y# d             ...

5 m2 y; i. E# N s; N

        }

, g, w5 u& L. p5 @

    break; 1 d2 O$ v2 m! ^! x

: ]+ r0 T9 g. F# T% L+ H

& J7 b( n ?2 J' p 这里通过$_FILES['file']依次获取了上传文件扩展名$ext、保存临时文件名$name、保存临时文件完整路径$file变量。之后通过new upload();创立一个upload对象，等到$upload->save()时再将文件真正写入。 ; d1 [6 P u2 ]5 r% [ o

- L; m# b0 b: d& y; z, n

upload对象构造函数如下，include/upload.class.php:25： - t( j" M$ w8 W3 ^) |- H* I A

<?phpclass upload {

2 n4 X* @8 C. D) R5 ^

8 f. c0 s2 I: S* b3 h     function __construct($_file, $savepath, $savename = '', $fileformat = '') {

        global $DT, $_userid;

        foreach($_file as $file) {

& N# W. E; {% B5 x- M8 r& T

$ y. ~% c% t/ a X0 J: N( A8 d             $this->file = $file['tmp_name']; * G' L1 ^: K, | ?5 ?! i/ j

3 z3 Z+ `8 t9 n: A& c

2 L3 G/ s1 t p             $this->file_name = $file['name'];

            $this->file_size = $file['size']; * U( u* V/ d/ e

* v- O& |( H: D+ t! ~! v0 T

            $this->file_type = $file['type'];

* Y& C' u9 D, Y7 W3 W% V! \0 Q% y

            $this->file_error = $file['error']; 7 w S1 W4 s3 o' H0 G# x

8 o2 e. _! c& Z* _4 P, l

  ; L( A4 @% u% A, K/ v) r4 I+ q: E

' n! i1 k1 }: B1 a, C& z& l         }

: R" `' I& _! [, X

$ v9 j8 l z4 d# |9 m         $this->userid = $_userid; 2 v. s. f7 Z2 B% z

: k+ O; y; ~: Q9 w5 E

        $this->ext = file_ext($this->file_name); * o! [# c9 T$ Y9 y

9 Z9 ]3 k% Z7 H6 t. v D; p         $this->fileformat = $fileformat ? $fileformat : $DT['uploadtype'];

9 }2 i0 m/ N" Z

9 s* W/ ]& c8 x* t$ _- D         $this->maxsize = $DT['uploadsize'] ? $DT['uploadsize']*1024 : 2048*1024; + ] L0 h5 w9 N' u$ u6 _! L- d8 Z

; ~% g, O; f" J9 P1 d

# m2 a+ E4 X9 d3 a         $this->savepath = $savepath;

% F7 K6 ]* ?) {         $this->savename = $savename; 6 G! z, ~" V7 a8 i5 _% p+ x

- G) M2 v D, L8 A! r$ a

    }} $ s" t1 ? z, S0 T9 S# w# `; J6 J5 y& p

' T7 G7 c5 o* f3 L6 n, {9 i 这里通过foreach($_file as $file)来遍历初始化各项参数。而savepath、savename则是通过__construct($_file, $savepath, $savename = '', $fileformat = '')直接传入参数指定。 9 ~0 i* c& @% ^

9 P( n4 Q: `7 z3 n3 \4 b' a8 G+ H

+ }# f w2 _" D6 [) _ Z+ T 因此考虑上传了两个文件，第一个文件名是1.php，第二个文件是1.jpg，只要构造合理的表单上传（参考：https://www.cnblogs.com/DeanChopper/p/4673577.html），则在avatar.inc.php中 + e3 Z2 P0 g0 t8 R# K5 m

4 k1 I' S) B5 W7 F6 t! u0 i

* h5 \9 i5 d7 `; J $ext = file_ext($_FILES['file']['name']); // `$ext`即为`php` $name = 'avatar'.$_userid.'.'.$ext; // $name 为 'avatar'.$_userid.'.'php'$file = DT_ROOT.'/file/temp/'.$name; // $file 即为 xx/xx/xx/xx.php

而在upload类中，由于多个文件上传，$this->file、$this->file_name、$this->file_type将foreach在第二次循环中被置为jpg文件。测试如下：

  7 c$ m, w& z- m( y7 ?. T0 a

3 V. Q# C( @( Y+ [- T$ J8 K: D* V

回到avatar.inc.php，当进行文件保存时调用$upload->save()，include/upload.class.php:50:

( N3 X$ @# `" Q# i <?phpclass upload { / v1 F- y- ~) g0 h

    function save() { * t! C+ Y$ P. q

+ g. R& [# b8 n         include load('include.lang'); & ?5 O& X/ g" g, R0 C& h: R

# _1 [- w8 C5 s( V5 C- \% `

        if($this->file_error) return $this->_('Error(21)'.$L['upload_failed'].' ('.$L['upload_error_'.$this->file_error].')'); 1 _( k3 Q+ o. @2 k6 L# w7 Y

8 O; E* g2 h% F0 F: f  

8 t0 ~& z" I _         if($this->maxsize > 0 && $this->file_size > $this->maxsize) return $this->_('Error(22)'.$L['upload_size_limit'].' ('.intval($this->maxsize/1024).'Kb)'); - V, _9 [' N4 |6 c: p

" Z1 x$ k0 t. z' f* f; q+ X) k  

1 s; m+ ]7 P$ T& Q9 `$ S

        if(!$this->is_allow()) return $this->_('Error(23)'.$L['upload_not_allow']); / o% P; V; p- y, a, k1 Z

  - w" z! L, N3 A

        $this->set_savepath($this->savepath);

- L( v( S7 H6 u$ Y0 f         $this->set_savename($this->savename);

/ _% z& ]. d/ S" C8 n+ G

+ L4 @' x$ O; O9 s, N3 d  

7 K/ ^. o0 P6 k; {2 j) T

9 L2 Z8 y- f9 q: f2 L& c' S; `+ R         if(!is_writable(DT_ROOT.'/'.$this->savepath)) return $this->_('Error(24)'.$L['upload_unwritable']);

! E6 }1 P$ d$ t2 ~( Q

        if(!is_uploaded_file($this->file)) return $this->_('Error(25)'.$L['upload_failed']);

3 `7 j9 G/ W- o* e Q

' @( v6 r6 c& T! {+ Z! n& c         if(!move_uploaded_file($this->file, DT_ROOT.'/'.$this->saveto)) return $this->_('Error(26)'.$L['upload_failed']); ) l% r' c- c3 g# D4 {

& X9 U2 }' w1 y+ {0 k   3 l/ J" ` u3 Z- D/ X5 m7 X

        $this->image = $this->is_image();

( ^; m# \5 }# O; ^         if(DT_CHMOD) @chmod(DT_ROOT.'/'.$this->saveto, DT_CHMOD); 5 E1 N5 d, p; t

( e! V/ F- ]/ B! x y- @

8 G9 b# K% v# ?0 J8 E8 H' I         return true;

    }}

( A$ ~, [8 y: P$ n5 ]3 Y

先经过几个基本参数的检查，然后调用$this->is_allow()来进行安全检查 include/upload.class.php:72：

/ ?0 r0 i) H5 k* o( z' X

<?php

1 H$ Q" u) e3 [" f* h! l6 v, o     function is_allow() {

" n: ]# r% h/ y: D6 e. W) M( d

        if(!$this->fileformat) return false; / t# L5 p# J1 a) O7 Y, }/ o+ [

/ {, _, w) B! s. q

; a& b' ~( o' b7 W& T+ K+ g         if(!preg_match("/^(".$this->fileformat.")$/i", $this->ext)) return false;

        if(preg_match("/^(php|phtml|php3|php4|jsp|exe|dll|cer|shtml|shtm|asp|asa|aspx|asax|ashx|cgi|fcgi|pl)$/i", $this->ext)) return false;

6 ]) r2 t0 Z' E3 T

% x7 H! b9 ^6 @! f/ q" S         return true;

. q/ B) z* v! c2 h

    } ! z" ]) H! v5 J5 c! d0 V4 l7 Z

可以看到这里仅仅对$this->ext进行了检查，如前此时$this->ext为jpg，检查通过。

接着会进行真正的保存。通过$this->set_savepath($this->savepath); $this->set_savename($this->savename);设置了$this->saveto，然后通过move_uploaded_file($this->file, DT_ROOT.'/'.$this->saveto)将file保存到$this->saveto ，注意此时的savepath、savename、saveto均以php为后缀，而$this->file实际指的是第二个jpg文件。

1 X1 q, Q0 V4 o8 u; P# o4 B* S 漏洞利用 i4 T9 D+ O/ k! w+ j# N- n

综上，上传两个文件，其中第一个文件以php为结尾如1.php，用于设置后缀名为php；第二个文件为1.jpg，jpg用于绕过检测，其内容为php一句话木马(图片马)。

+ }3 b' R' ]5 N6 [. @% \- h- b, x% s

 

6 B+ y7 [3 Y' d/ F. \9 T

. p& `/ H3 V/ M: |" x 然后访问http://127.0.0.1/file/temp/avatar1.php 即可。其中1是自己的_userid ( e4 D. a( R t" S. d+ |

2 t2 ^& {" n' g0 a; r 不过实际利用上会有一定的限制。 , V( ~+ \% B) d, E% h2 ~

9 J% `8 k9 V" A% H* [9 q

第一点是destoon使用了伪静态规则，限制了file目录下php文件的执行。

8 v! e" A( e/ u2 F( p

  % c3 n4 I; \( u1 x( ?

! v' e# H" P0 ]3 G

第二点是avatar.inc.php中在$upload->save()后，会再次对文件进行检查，然后重命名为xx.jpg：

9 i* a7 ~2 @! @& ^

省略...$img = array();$img[1] = $dir.'.jpg';$img[2] = $dir.'x48.jpg';$img[3] = $dir.'x20.jpg';$md5 = md5($_username);$dir = DT_ROOT.'/file/avatar/'.substr($md5, 0, 2).'/'.substr($md5, 2, 2).'/_'.$_username;$img[4] = $dir.'.jpg';$img[5] = $dir.'x48.jpg';$img[6] = $dir.'x20.jpg';file_copy($file, $img[1]);file_copy($file, $img[4]);省略...

) g. Y5 e8 n' i$ d8 a1 s: ~

! G, p4 S" I$ q6 ]" e6 X 因此要利用成功就需要条件竞争了。

补丁分析

; }, [1 S( o- H) l) [, u g# g

6 S, w. G8 V0 ^) r& F  

1 w" F/ p0 T1 s g$ M& g: h: d

3 \/ c1 M/ k& k3 G2 ?7 l 在upload的一开始，就进行一次后缀名的检查。其中is_image如下： ! M+ f) Q+ _2 l- ?7 G. I% [6 E$ ]/ n

function is_image($file) {    return preg_match("/^(jpg|jpeg|gif|png|bmp)$/i", file_ext($file));}

# n# [& L$ o/ Q( R

 

8 n( r8 q. P* F) y

在__construct()的foreach中使用了break，获取了第一个文件后就跳出循环。 1 v( {: H4 J7 _6 ]; ^2 U' t

在is_allow()中增加对$this->savename的二次检查。

# J' u5 Q. P! X: l

最后

嘛，祝各位大师傅中秋快乐！

2 L3 |, m; S8 t" r

+ O( h4 Z* w! k2 M, I) b0 o( m   ( P. `' r' P. F; F- {

% c G2 B; z! V. g