Destoon cms前台getwebshell

admin

8 N. I1 A1 @! H% x% h" F0 S

3 O* ~, L) _6 x( W, K

+ H# q7 f# Z3 e \ 前言 ( p! C# Z1 ^1 k6 L n7 Y8 N

2018年9月21日，Destoon官方发布安全更新，修复了由用户“索马里的海贼”反馈的一个漏洞。 1 q- o: A1 I7 R

 

* U& f1 F( o0 o( i4 o

+ r" z- I4 e& ~. w& m+ s+ V7 ~ 漏洞分析

! {1 a, X% ` L( i5 ~! K2 y* ^" s 根据更新消息可知漏洞发生在头像上传处。Destoon中处理头像上传的是 module/member/avatar.inc.php 文件。在会员中心处上传头像时抓包，部分内容如下： 0 x# e7 U+ [2 N

8 T, y: J1 x, P+ y# W

2 N+ u+ f: Y. @5 t c   ' F7 y1 O9 w( M" o# ]/ `7 O) j. f

对应着avatar.inc.php代码如下：

<?php defined('IN_DESTOON') or exit('Access Denied');login();require DT_ROOT.'/module/'.$module.'/common.inc.php';require DT_ROOT.'/include/post.func.php';$avatar = useravatar($_userid, 'large', 0, 2);switch($action) {

7 r; A5 Z# n3 w* P3 ~/ R     case 'upload':

2 a& u( n( ?3 _4 M! F+ `) O

        if(!$_FILES['file']['size']) {

4 w$ z2 t* `# w- _

( m, }: g& Q; T5 @3 [- E$ J/ x. f             if($DT_PC) dheader('?action=html&reload='.$DT_TIME);

* c* L8 ?+ g% T& `$ S2 b+ ~

" N+ K( E4 Z, W' w- [8 f3 G; Q             exit('{"error":1,"message":"Error FILE"}');

' `5 H+ _: z4 C1 R k7 B2 z) k* w

        } 8 j% ^6 m' y- A1 A9 q

& h+ _) z( \! J9 p8 A4 ~0 z+ B& q

        require DT_ROOT.'/include/upload.class.php';

: c d( @8 V; Q! M, W

+ S3 F& |2 M% E8 p# h6 p   " g4 k! D2 v1 w! A% L6 Z+ y, X. H

: M3 s6 q I) i1 L0 l1 U. X1 H

        $ext = file_ext($_FILES['file']['name']);

        $name = 'avatar'.$_userid.'.'.$ext; ' b' b8 O5 J* w& x* X& y) w* `3 [) r* z

' x7 B; A. y( N" j) } f4 n

4 N# g: F$ v2 M9 ]5 E         $file = DT_ROOT.'/file/temp/'.$name; 6 u$ g6 }- e _5 |

) N9 z; S) P p: r1 o; D- ~

' J+ e, n$ q# I! d' ?+ b& h  

' j& \2 c5 F1 t4 `% G5 m' Z

! k& w# S! f* y& l         if(is_file($file)) file_del($file);

1 o4 }! n1 R' K4 b- {

2 ]" N0 [. _% o R7 k v1 \         $upload = new upload($_FILES, 'file/temp/', $name, 'jpg|jpeg|gif|png');

$ O, p/ p, {& R* [' k6 V9 W- E5 d% p   ( o, y6 d& u3 z. u' J, X9 Q1 s

# D) e) S7 R( r1 F8 ]

$ G: @! |/ {) i5 ^         $upload->adduserid = false; - G& N9 p( i/ r+ W+ D4 e

5 g6 k# p2 o# f! e" E8 F# j$ L

5 v& v- k( ~2 O; T2 p, z* H- X/ } v   5 U+ k& P1 c' c4 I6 B9 G8 T' S

3 ^! U# o% I8 l3 ^1 F( g. D         if($upload->save()) {

- y" v& d1 h- ?2 X$ @             ...

. v* u5 a2 n. O; f# B% W

        } else {

; n e; K: f" d7 n( |             ...

' {8 e# m- b" ?+ @1 j# d& g

        }

    break;

这里通过$_FILES['file']依次获取了上传文件扩展名$ext、保存临时文件名$name、保存临时文件完整路径$file变量。之后通过new upload();创立一个upload对象，等到$upload->save()时再将文件真正写入。

& A! U4 w3 u8 K5 b8 [8 e

upload对象构造函数如下，include/upload.class.php:25： " }6 n. w+ M5 ~6 `

. D2 S0 ~5 H0 x0 r ~" G

<?phpclass upload { B/ B; l3 {- W9 q w1 w8 [

    function __construct($_file, $savepath, $savename = '', $fileformat = '') { / R* e3 d0 I1 k* X# W5 h7 J, X

        global $DT, $_userid; 7 G' l/ Q6 x* G6 L0 @" j

- \2 f5 [( j, n3 u: F1 g         foreach($_file as $file) { 5 E+ p) {# J) _& j5 `

( U; e! w1 |, Y0 X- d* G) Q

            $this->file = $file['tmp_name']; 8 y) Y4 A3 o" O! L2 y

            $this->file_name = $file['name']; ) ]( x4 m3 G. U9 A' _. y$ a

3 m, W8 R- D: @7 t7 ?

            $this->file_size = $file['size'];

' f" T, \; R+ e* i             $this->file_type = $file['type'];

) j9 I; {& `" _2 |             $this->file_error = $file['error'];

  - M. {. C: I" M3 p% D

# b' g% Z4 H; R2 Q, f' _; k

        } : g! v2 d) C" Z

        $this->userid = $_userid;

+ n+ e* e' q. v* c; ^

        $this->ext = file_ext($this->file_name); & z' ^2 h. S8 ~% E- n0 {5 u

* B8 o& Y* E! [! v2 y2 d         $this->fileformat = $fileformat ? $fileformat : $DT['uploadtype'];

2 s6 R$ Q4 Y. k$ l7 X* q         $this->maxsize = $DT['uploadsize'] ? $DT['uploadsize']*1024 : 2048*1024; " v0 c3 }& x7 h- E/ H+ Z& [; `$ s

+ o! Z' W: r5 U         $this->savepath = $savepath;

, x+ R2 b3 L: V/ h/ q

( p7 B2 W' E# \% z$ V8 B         $this->savename = $savename;

    }} # n- {1 V! j8 m+ \5 y

- V& J/ p4 T2 E, R/ e( O, u& Q 这里通过foreach($_file as $file)来遍历初始化各项参数。而savepath、savename则是通过__construct($_file, $savepath, $savename = '', $fileformat = '')直接传入参数指定。

因此考虑上传了两个文件，第一个文件名是1.php，第二个文件是1.jpg，只要构造合理的表单上传（参考：https://www.cnblogs.com/DeanChopper/p/4673577.html），则在avatar.inc.php中

4 a4 C0 }5 M% }2 O: w

$ext = file_ext($_FILES['file']['name']); // `$ext`即为`php` $name = 'avatar'.$_userid.'.'.$ext; // $name 为 'avatar'.$_userid.'.'php'$file = DT_ROOT.'/file/temp/'.$name; // $file 即为 xx/xx/xx/xx.php 8 z) I3 O- g# w# v/ A& d

而在upload类中，由于多个文件上传，$this->file、$this->file_name、$this->file_type将foreach在第二次循环中被置为jpg文件。测试如下：

0 M/ Q" U0 i* [4 l. Y) O

% O$ v: {. _, B+ p; {   1 m. Q; m0 Y" G2 v5 H7 w5 a0 y; ?, z; _

: v5 f0 F: R5 ^" e! k+ H

回到avatar.inc.php，当进行文件保存时调用$upload->save()，include/upload.class.php:50:

7 w8 y0 m" D4 i. x% x

<?phpclass upload {

/ b1 w2 e/ ]6 a, |$ ]; X0 ?

. o8 [' j, s. L+ S, a! q4 E     function save() {

        include load('include.lang');

        if($this->file_error) return $this->_('Error(21)'.$L['upload_failed'].' ('.$L['upload_error_'.$this->file_error].')');

: }) u! A! | s& m

- k1 i# T; G1 G2 U9 U+ B; \. p2 u   2 b9 G8 _* n7 y

6 i8 [, V+ u& t9 j         if($this->maxsize > 0 && $this->file_size > $this->maxsize) return $this->_('Error(22)'.$L['upload_size_limit'].' ('.intval($this->maxsize/1024).'Kb)'); : Y! U n- E% h, \, [* J

& n0 X% k0 L1 F" {* ]; ]   9 K/ w' C& b6 h/ {9 y4 r

" u7 h+ ?% I. C0 x B! Z- E3 N$ u

        if(!$this->is_allow()) return $this->_('Error(23)'.$L['upload_not_allow']);

  $ q; p4 h7 o- a8 `2 U' I' p8 a' i

1 V' G5 ~! i3 d( F7 q( x% j3 e         $this->set_savepath($this->savepath);

) O1 Z {8 r' X- a i& s

2 ]* K6 w/ C* q9 P4 ?" d; Y" _, C         $this->set_savename($this->savename);

  7 I2 `6 L' H! W) q2 I# D6 b

* \6 g; u6 \ w) u. {: P

* n5 ?$ J- Z7 [/ d         if(!is_writable(DT_ROOT.'/'.$this->savepath)) return $this->_('Error(24)'.$L['upload_unwritable']);

        if(!is_uploaded_file($this->file)) return $this->_('Error(25)'.$L['upload_failed']);

0 \. B3 A* |* D8 Q& \

        if(!move_uploaded_file($this->file, DT_ROOT.'/'.$this->saveto)) return $this->_('Error(26)'.$L['upload_failed']); 1 J) k0 t$ y6 ^# R/ Q! x

' I( Z3 J0 Y7 p4 @: P( X+ Y

  8 r3 x9 x; I9 R4 H1 g

! A6 N" ?/ t$ i2 U         $this->image = $this->is_image();

        if(DT_CHMOD) @chmod(DT_ROOT.'/'.$this->saveto, DT_CHMOD);

& Z* P% [) `* Z. ^

) a9 R7 s0 E/ B0 V; K; ^1 r: A% K* s         return true; 8 k8 |4 ~. \6 i) _8 ]7 Q

    }} 5 W d8 H) x% x9 D& j D

先经过几个基本参数的检查，然后调用$this->is_allow()来进行安全检查 include/upload.class.php:72：

0 ~0 c3 W$ r0 G0 T( |7 H <?php - @8 a3 w0 k, p# [ S$ m4 @8 l6 {; s

% y+ k; c" |* E& ^: S

1 q' m, q' A" o     function is_allow() { . x, u4 f1 L0 G5 N

# f" P7 _. T1 `- y5 Z' J8 _

0 g4 s1 E; L& }         if(!$this->fileformat) return false; # Z' I* O/ n3 L! c2 j; ^* S

5 [0 Q/ f$ ^8 w' f: {

        if(!preg_match("/^(".$this->fileformat.")$/i", $this->ext)) return false; 6 |* t, K1 ^' \" ?' {6 p

1 u, {3 f1 t$ n0 v: c; B% Z! h

        if(preg_match("/^(php|phtml|php3|php4|jsp|exe|dll|cer|shtml|shtm|asp|asa|aspx|asax|ashx|cgi|fcgi|pl)$/i", $this->ext)) return false;

        return true; 7 g5 }; v) G- ~1 T+ J9 v7 W7 f

: n+ A0 Z& s- `, g3 ?

    }

+ b5 {4 A& {7 z' U4 Y* z8 l. b8 e

5 Q" {- \# V. n9 C7 S$ H 可以看到这里仅仅对$this->ext进行了检查，如前此时$this->ext为jpg，检查通过。 6 X8 ^3 b; z2 [

- \- u9 A/ e! K& K n( C7 {! F 接着会进行真正的保存。通过$this->set_savepath($this->savepath); $this->set_savename($this->savename);设置了$this->saveto，然后通过move_uploaded_file($this->file, DT_ROOT.'/'.$this->saveto)将file保存到$this->saveto ，注意此时的savepath、savename、saveto均以php为后缀，而$this->file实际指的是第二个jpg文件。

漏洞利用

( r. n$ K- M$ M: s" S2 k* \; a

4 Y7 ~% R& o1 T; {: ?! A 综上，上传两个文件，其中第一个文件以php为结尾如1.php，用于设置后缀名为php；第二个文件为1.jpg，jpg用于绕过检测，其内容为php一句话木马(图片马)。

+ r/ i% w5 |$ E- Q4 v, i n  

然后访问http://127.0.0.1/file/temp/avatar1.php 即可。其中1是自己的_userid

不过实际利用上会有一定的限制。

" a# J# [3 F% L) t3 F3 q( X 第一点是destoon使用了伪静态规则，限制了file目录下php文件的执行。

# m: r) n8 Q' t- e/ g3 B

 

) l7 }9 Q2 A8 c5 \2 P9 y

第二点是avatar.inc.php中在$upload->save()后，会再次对文件进行检查，然后重命名为xx.jpg： ; V; ?; I4 w; V M& I

# o j; Z% w+ p% k* t7 S# S8 D 省略...$img = array();$img[1] = $dir.'.jpg';$img[2] = $dir.'x48.jpg';$img[3] = $dir.'x20.jpg';$md5 = md5($_username);$dir = DT_ROOT.'/file/avatar/'.substr($md5, 0, 2).'/'.substr($md5, 2, 2).'/_'.$_username;$img[4] = $dir.'.jpg';$img[5] = $dir.'x48.jpg';$img[6] = $dir.'x20.jpg';file_copy($file, $img[1]);file_copy($file, $img[4]);省略...

* @! x9 S7 z: N! a! z 因此要利用成功就需要条件竞争了。

& P! X3 t `5 J0 z, v

补丁分析 ' \/ V6 s& z3 _- a- _# ^

% U: y& O* l6 F0 @& Z

; o; R+ Q" ?% s8 n1 e   ( h2 f2 V" s" I/ j8 c+ R, v

' V1 x# ^2 r7 `( c

在upload的一开始，就进行一次后缀名的检查。其中is_image如下：

; p: p9 l0 H' H, X! _ P function is_image($file) {    return preg_match("/^(jpg|jpeg|gif|png|bmp)$/i", file_ext($file));}

/ {# A. q0 p) k8 b( Z, g

9 }2 W# M4 _8 ~5 W1 i0 Q/ \3 i8 {  

7 L8 C! H& A/ k/ B

在__construct()的foreach中使用了break，获取了第一个文件后就跳出循环。 ; X1 x3 \ ?# {1 [. r8 i

4 |! ^4 f, z# T

在is_allow()中增加对$this->savename的二次检查。 & O* N3 }4 U# y/ G+ C

/ C9 P7 Q4 u2 l1 j7 J3 h

9 Z( l, J8 n# m A& z. C9 |" H' J7 h 最后 / B& l+ x* k% J1 n. F5 I

6 f& K l) ~7 K8 ?& \3 Z 嘛，祝各位大师傅中秋快乐！ ' F( C: Q, u9 d; G# k- m

 

2 j) z8 u$ k# o* ?/ d+ _