Destoon cms前台getwebshell

admin

; n L. u: t/ H, [ 前言 $ c* h! s& z7 r7 X- `3 d

; } U& ^& D9 K+ x 2018年9月21日，Destoon官方发布安全更新，修复了由用户“索马里的海贼”反馈的一个漏洞。

, M9 I: O+ j' g9 m. N+ V' l

1 d8 |$ t/ L. j* m' _5 ~  

/ C' i8 v, ^5 u7 v( z0 B% v# u

- r$ {5 U' V. S# t( S8 R 漏洞分析 , q& z% D2 F$ n) y# ^

根据更新消息可知漏洞发生在头像上传处。Destoon中处理头像上传的是 module/member/avatar.inc.php 文件。在会员中心处上传头像时抓包，部分内容如下： 1 H+ |% X& b, F( M- P& J, b

3 v- K+ I5 W* J A9 J

3 j" k3 B( B1 V4 {3 C2 U& q  

对应着avatar.inc.php代码如下：

) N& G. h) s4 ?0 l3 U+ ]

) V: f8 }( h7 _2 ]- ?; s% J <?php defined('IN_DESTOON') or exit('Access Denied');login();require DT_ROOT.'/module/'.$module.'/common.inc.php';require DT_ROOT.'/include/post.func.php';$avatar = useravatar($_userid, 'large', 0, 2);switch($action) {

8 D4 V7 x* Z8 X

- j3 H" o K$ `: r3 l! R, O     case 'upload': , M7 |+ n0 _& {+ f; S

/ Z- V$ z" L0 Q' x# v8 ?         if(!$_FILES['file']['size']) { * E! e0 b/ ]; c2 m% j0 {

; {5 a" Y. E! R8 \             if($DT_PC) dheader('?action=html&reload='.$DT_TIME);

            exit('{"error":1,"message":"Error FILE"}'); 0 ^4 R- D. B5 m5 O0 M& @4 e

        } 8 l6 S$ u7 o5 X$ y4 j2 \8 Y3 a% W

# S7 C0 ?+ a/ y! Z i+ J         require DT_ROOT.'/include/upload.class.php';

+ @3 `9 }$ A0 ^4 E   9 T2 y& j/ t7 T7 A

0 v, d% k! i* ]" n& U% ?4 x/ O+ `         $ext = file_ext($_FILES['file']['name']);

/ f2 D0 I' P' Y. d

        $name = 'avatar'.$_userid.'.'.$ext;

% A1 ]0 J' B) e

9 |) e0 m0 D1 {         $file = DT_ROOT.'/file/temp/'.$name;

2 |( |8 A$ G* b( n

 

! k- d. h) P8 W/ ~0 b" J; _ G         if(is_file($file)) file_del($file);

. q6 E2 \$ {3 e$ B

2 C) W+ P/ [, N6 j* N0 \2 \8 D/ C         $upload = new upload($_FILES, 'file/temp/', $name, 'jpg|jpeg|gif|png'); 7 J+ }* o3 P, f7 r2 a- {

8 j/ z- n( W) W( M/ o$ H$ A

  ( M, A- n8 H$ E% C

+ t% I% p; E4 o$ }; q

- G6 r% F2 _: a' k2 W# t( C9 j         $upload->adduserid = false;

8 U+ a! R0 U$ \# \

; ~, V2 T, B( V" k# U0 T: s8 L   1 X! [9 l* s& [" ~' A9 `

. u) Z8 b7 P6 _( [3 G7 l1 R( O- U& _; k

        if($upload->save()) { 7 ?6 y8 R$ p) v2 K

7 M. u% ~) N( o1 }             ...

' M$ d% }0 g6 t9 {

        } else {

/ t0 f1 [* ]* f! t4 i2 _& }- r

- W, Z. r, y6 ?' p. P) M+ j             ...

        }

A9 x: L2 S" h! e

4 J4 t8 O- q q3 V9 d. U& W" h$ d     break;

1 O Q6 H3 L0 Y; ]

这里通过$_FILES['file']依次获取了上传文件扩展名$ext、保存临时文件名$name、保存临时文件完整路径$file变量。之后通过new upload();创立一个upload对象，等到$upload->save()时再将文件真正写入。

1 m" E% I" Q* M% {

upload对象构造函数如下，include/upload.class.php:25：

" ^. R& \1 N7 Y8 K# u

<?phpclass upload {

. m- o% \" o4 u7 P- [( c

- z' V1 z7 G) A     function __construct($_file, $savepath, $savename = '', $fileformat = '') { - S9 G+ s' T" X, N" _5 y1 t$ P) P9 O

4 K0 G9 v+ ~% F5 X8 j. j# `

        global $DT, $_userid; & q3 \$ O/ @' ?4 S# G8 o( F! J f& q$ ~

. D. [. d/ ?3 k. b( K& V

        foreach($_file as $file) {

" z1 |% W: n0 X/ a, G, i& \- p

            $this->file = $file['tmp_name'];

            $this->file_name = $file['name']; ) f2 i4 ^% |$ y1 u

            $this->file_size = $file['size'];

            $this->file_type = $file['type']; . Y/ i- h1 f/ c3 J$ p6 `

            $this->file_error = $file['error'];

^7 J* _5 H: S8 c8 J' Z

2 y; B$ x# u6 T! }  

5 k8 K- Y" j. p, f+ ?

        } * [7 V& s- k. o, `' [0 E% u3 t7 L

6 E! U5 j, r* V0 h" Q         $this->userid = $_userid; * d/ i$ i2 t( \

        $this->ext = file_ext($this->file_name);

) T8 L" l; ?( n q         $this->fileformat = $fileformat ? $fileformat : $DT['uploadtype'];

$ Z% t v( X1 [5 y9 e4 P% N% C

        $this->maxsize = $DT['uploadsize'] ? $DT['uploadsize']*1024 : 2048*1024;

7 X# {7 \: r% y# h

        $this->savepath = $savepath;

$ J8 V3 ~4 m7 [# ?$ C

# Z. j, |( I+ M+ G& D         $this->savename = $savename; 1 C7 O$ Q2 B4 w+ z5 y& ~; r+ r. e

2 P+ Z9 t0 U& H3 R     }}

5 ~1 W- Q. ?( I) G2 r7 B

这里通过foreach($_file as $file)来遍历初始化各项参数。而savepath、savename则是通过__construct($_file, $savepath, $savename = '', $fileformat = '')直接传入参数指定。 7 ]2 b: O8 @! u8 w

因此考虑上传了两个文件，第一个文件名是1.php，第二个文件是1.jpg，只要构造合理的表单上传（参考：https://www.cnblogs.com/DeanChopper/p/4673577.html），则在avatar.inc.php中 7 z0 h- [/ Z) E; K; H' o! I

$ext = file_ext($_FILES['file']['name']); // `$ext`即为`php` $name = 'avatar'.$_userid.'.'.$ext; // $name 为 'avatar'.$_userid.'.'php'$file = DT_ROOT.'/file/temp/'.$name; // $file 即为 xx/xx/xx/xx.php + K S$ d$ `: \5 O

而在upload类中，由于多个文件上传，$this->file、$this->file_name、$this->file_type将foreach在第二次循环中被置为jpg文件。测试如下：

 

; s" }4 Q: Y3 ~1 S' b+ F' c$ M, Z( {

回到avatar.inc.php，当进行文件保存时调用$upload->save()，include/upload.class.php:50: 3 P0 G" S$ z6 v: }* ?0 _+ T. P! u

4 Y; n$ J, q B7 g8 J <?phpclass upload {

    function save() {

        include load('include.lang'); 4 q9 Z, n) |4 |- b9 M

$ B2 m2 p3 K9 k) t3 ?

        if($this->file_error) return $this->_('Error(21)'.$L['upload_failed'].' ('.$L['upload_error_'.$this->file_error].')'); 5 ]3 g& W& L5 m B

$ X: |1 d) K& V8 P5 S( `/ C

  * i3 D0 i2 ?- E# Z6 i) l

+ q5 x" j b. M% d2 [

        if($this->maxsize > 0 && $this->file_size > $this->maxsize) return $this->_('Error(22)'.$L['upload_size_limit'].' ('.intval($this->maxsize/1024).'Kb)'); : ]" v1 Q/ [. ^6 m" i `7 }: H( g0 [

 

4 ?7 q! ^& U0 m6 a2 p5 v

2 A8 n# i/ C' ~! H4 ~         if(!$this->is_allow()) return $this->_('Error(23)'.$L['upload_not_allow']);

& t: ?. D' F! e+ l7 j' Q

- p! r( z1 P8 p* a. d& @( J0 Z   / A2 k! A# m" [& V, \" C

% T) `: a" f. M( }3 t         $this->set_savepath($this->savepath);

: m e. E5 j4 p6 R8 ^

+ Q* d n; l4 ^. |- `         $this->set_savename($this->savename);

- I3 P% n5 |: c) n4 z8 M+ e1 o4 B

" f4 R# x2 E. m) i% u& n   6 u( _, W% l: C& g4 R/ N

# P9 U7 M- E2 x" k+ |

        if(!is_writable(DT_ROOT.'/'.$this->savepath)) return $this->_('Error(24)'.$L['upload_unwritable']);

4 R, f6 v$ p* Y& Z; W2 O         if(!is_uploaded_file($this->file)) return $this->_('Error(25)'.$L['upload_failed']); ' O4 `" i2 S) C, Y2 m+ g/ R

$ S! R4 b5 w! t- `7 N- {. \( t         if(!move_uploaded_file($this->file, DT_ROOT.'/'.$this->saveto)) return $this->_('Error(26)'.$L['upload_failed']);

# I2 ^% a, u. p% ? s

 

+ o. f, e9 r' S% V i         $this->image = $this->is_image(); & b/ i" J; E2 U

        if(DT_CHMOD) @chmod(DT_ROOT.'/'.$this->saveto, DT_CHMOD);

        return true; & F) X5 d7 s5 I6 B2 y- }. b) L

% H/ a% [* P; ] m: |2 |

4 e. I8 }$ W! |' P     }} * I$ \( _$ | g5 E

8 I% ^$ f) q* _. l& K B8 G0 W; S4 ?

, C1 \# i0 j6 b+ ]5 b 先经过几个基本参数的检查，然后调用$this->is_allow()来进行安全检查 include/upload.class.php:72： - C0 @9 }, h: W0 X; G

- _! J, C6 E, z" M <?php

" R- e( f' U0 V. }" F2 Q     function is_allow() { ' Z2 i3 {* o8 O3 \6 D

0 A! ]' W8 n( |) Z1 y: e         if(!$this->fileformat) return false; ; \' R! |" t% q5 C/ K6 r( j

        if(!preg_match("/^(".$this->fileformat.")$/i", $this->ext)) return false;

0 z% b! M' A- ]$ W         if(preg_match("/^(php|phtml|php3|php4|jsp|exe|dll|cer|shtml|shtm|asp|asa|aspx|asax|ashx|cgi|fcgi|pl)$/i", $this->ext)) return false; ! w3 C. u/ x* |9 }3 C" t0 T& z

/ D, v- |9 J) x9 s' F$ L8 m         return true; + G3 X) [0 a% ^6 C' I6 v2 ?0 f, }

+ Y C8 @- ^5 }" y

6 p+ ]& m! [/ d) |5 h     } 1 [ k7 X3 g, _0 X

1 x, U5 V( A# w2 o4 W

可以看到这里仅仅对$this->ext进行了检查，如前此时$this->ext为jpg，检查通过。

% Y; ]( E$ `( l7 ?

0 P, D: {$ r" a& @: L: Q* u4 ~. U0 h: q 接着会进行真正的保存。通过$this->set_savepath($this->savepath); $this->set_savename($this->savename);设置了$this->saveto，然后通过move_uploaded_file($this->file, DT_ROOT.'/'.$this->saveto)将file保存到$this->saveto ，注意此时的savepath、savename、saveto均以php为后缀，而$this->file实际指的是第二个jpg文件。 9 S0 d/ H7 s1 c; C4 g; z

1 B* b* |/ ~5 E! x$ Z$ v7 m

漏洞利用

7 }) O! X5 t- }( }$ F, M; L 综上，上传两个文件，其中第一个文件以php为结尾如1.php，用于设置后缀名为php；第二个文件为1.jpg，jpg用于绕过检测，其内容为php一句话木马(图片马)。 7 o$ y H" C2 v9 L0 P

; f# o5 N% X& e

4 l0 e( P* T: u: r   . Z1 r" G0 \9 F* o/ z1 m

: m- C4 X/ m" b6 [* P

2 X6 f4 x7 F, v) V 然后访问http://127.0.0.1/file/temp/avatar1.php 即可。其中1是自己的_userid

3 A& d% i8 S2 k

+ w; P5 C) l) U% A7 b: C: D1 F 不过实际利用上会有一定的限制。 5 e, L& p/ c+ R

第一点是destoon使用了伪静态规则，限制了file目录下php文件的执行。 - T3 _' P }0 o e

7 i+ W) c* @6 P9 e2 g; k   ) z* U, H+ j3 K7 ^

w( d: k, O% P- N4 W7 ]

第二点是avatar.inc.php中在$upload->save()后，会再次对文件进行检查，然后重命名为xx.jpg：

省略...$img = array();$img[1] = $dir.'.jpg';$img[2] = $dir.'x48.jpg';$img[3] = $dir.'x20.jpg';$md5 = md5($_username);$dir = DT_ROOT.'/file/avatar/'.substr($md5, 0, 2).'/'.substr($md5, 2, 2).'/_'.$_username;$img[4] = $dir.'.jpg';$img[5] = $dir.'x48.jpg';$img[6] = $dir.'x20.jpg';file_copy($file, $img[1]);file_copy($file, $img[4]);省略...

J4 ]/ ]3 a, R L1 k" T" }# s+ t0 a 因此要利用成功就需要条件竞争了。

' `8 N {; H$ A' d! V& c9 J1 R

补丁分析 ' ^! V. n3 T- [4 ?9 x: V

5 M2 v0 ?( g- H7 N9 ^5 n

M/ w) P* t7 s6 l  

) F2 J9 r* }/ l8 d; Z# V

! a5 L- T8 U L8 |' M1 ] 在upload的一开始，就进行一次后缀名的检查。其中is_image如下：

' R, V, n% M; w% b+ `; ~ function is_image($file) {    return preg_match("/^(jpg|jpeg|gif|png|bmp)$/i", file_ext($file));} ; p! q; i: z: P% W. k$ [

. s5 ]7 b( m7 Z" S

 

在__construct()的foreach中使用了break，获取了第一个文件后就跳出循环。

8 [5 m' [5 h! S 在is_allow()中增加对$this->savename的二次检查。 3 I" A" n5 M8 R! q

, B1 y6 W' z* Q# r1 u) d8 h' p

7 \; W: h ?; u" b 最后 + P6 X0 M' o+ @3 `+ Q+ O4 _8 F

9 A8 i: a1 n/ A 嘛，祝各位大师傅中秋快乐！ 7 Q7 K" S+ u2 t8 ]2 g. S* K `* q

  " L8 l! P) K; q7 u, N. X

" I* k2 E6 ?/ B4 Q2 i r q$ H# N+ Y