Destoon cms前台getwebshell

admin

! I# b7 u. [2 Y. }% u3 O) E: ]

1 y$ \5 H" o! q2 U

前言

2018年9月21日，Destoon官方发布安全更新，修复了由用户“索马里的海贼”反馈的一个漏洞。

& [- i8 c" Q. X ~; `

  2 o/ l( [ i( [ M

5 D; A/ ]" u* {, Q0 T

漏洞分析

5 |) ^4 t, F# M5 y& `2 Q, i$ s5 V; F 根据更新消息可知漏洞发生在头像上传处。Destoon中处理头像上传的是 module/member/avatar.inc.php 文件。在会员中心处上传头像时抓包，部分内容如下： . H6 D6 I: A5 L5 H8 R7 l' p' m

- N3 T& q( b7 b/ E# W

  ) Z8 v0 A( \5 x0 r

8 z4 l. c5 A6 K2 p5 b, v/ b8 r

" m: _2 s! a! J6 O 对应着avatar.inc.php代码如下：

) [1 v: D& ?0 O, q/ `; U, S3 t <?php defined('IN_DESTOON') or exit('Access Denied');login();require DT_ROOT.'/module/'.$module.'/common.inc.php';require DT_ROOT.'/include/post.func.php';$avatar = useravatar($_userid, 'large', 0, 2);switch($action) {

1 P5 O# W% v& n+ R; k     case 'upload':

3 I, J# H) J+ n9 G         if(!$_FILES['file']['size']) {

' b3 A* w' ^4 q' y* }' u

            if($DT_PC) dheader('?action=html&reload='.$DT_TIME);

            exit('{"error":1,"message":"Error FILE"}');

$ a `' E5 G* j& E- U1 z6 m         }

) |5 s" [% f0 u9 u) ]+ O$ u9 _         require DT_ROOT.'/include/upload.class.php';

7 Z" P* q: q, l$ a

 

6 P- w; J% o1 {+ C# I( o         $ext = file_ext($_FILES['file']['name']);

. b% u8 Y6 e6 k/ M% h

        $name = 'avatar'.$_userid.'.'.$ext;

        $file = DT_ROOT.'/file/temp/'.$name;

7 l7 f7 C, a# O0 f v5 ~6 z8 `4 F9 Z

 

* }- g6 C' M& P         if(is_file($file)) file_del($file); % ^% f% g ~. Q

3 M `. V* v& m; A         $upload = new upload($_FILES, 'file/temp/', $name, 'jpg|jpeg|gif|png');

 

        $upload->adduserid = false; ! H8 |% x8 K: a3 _2 i

0 }8 U ^7 I0 Z" n. J+ o- h& e

8 D2 ~+ a& }' o$ S) N% r   . o$ {; f0 Z* L8 y5 n- l

        if($upload->save()) {

            ... - i9 N- N. q |) G1 C \

& y8 T1 D$ E: }; D s: Z         } else {

5 {9 r t8 L2 ?( z, _' t

            ...

        } 6 {6 l C; O' s1 a$ b e/ P9 z

9 ~ N$ W0 r9 Y

    break; 3 e% V7 ^$ a, ?

# n0 \/ r9 A# p3 @9 s+ \

1 ]+ B0 D8 X' w1 f& W/ @% H/ I 这里通过$_FILES['file']依次获取了上传文件扩展名$ext、保存临时文件名$name、保存临时文件完整路径$file变量。之后通过new upload();创立一个upload对象，等到$upload->save()时再将文件真正写入。 $ q' {" L* B1 j/ a9 g8 u$ ]

$ {7 G. u' ~) Y+ C/ f/ }: N

* t/ I4 V0 `+ H) [; V1 w6 Q upload对象构造函数如下，include/upload.class.php:25：

- m& }! |9 F: I5 G [0 l0 U( N4 [; O <?phpclass upload { 8 R- L. \% c4 ^( r" v/ G

/ s* `1 K P1 b7 Y& p) I! j* r/ Z! n6 Q

T8 k" w5 c: z3 E K/ ^: S( {1 L9 d     function __construct($_file, $savepath, $savename = '', $fileformat = '') {

6 |' e6 s/ _" x+ `7 U8 w: G% M

* }6 N5 l8 r& b& ^6 Q         global $DT, $_userid;

- y( N$ d, @3 l. \- L2 ]7 ^7 m         foreach($_file as $file) { $ S C' }* {: S% d& f# n2 [4 p! p

: H' ~0 R) j& j) ^$ g! H( C4 x' N             $this->file = $file['tmp_name']; , y' T$ h1 M5 U

4 B% Y- F( L$ ]# u4 ]% H5 A

5 b1 ] W4 h1 U2 J5 I3 i! V             $this->file_name = $file['name'];

# _3 o) u' {6 T+ S3 I; m

& G( _% M7 j" R& ?             $this->file_size = $file['size']; 0 C) D7 g+ G! I9 O1 R, N" C1 e

! E" _2 ?; A& g+ ~8 t

: _* F: B& b0 s             $this->file_type = $file['type']; 8 z7 g6 x& P- G# s6 u+ ^( E

6 Z+ N; g% ~- W# [

2 C0 _' W! k$ b; l) H6 I7 ^             $this->file_error = $file['error']; 6 B" @7 z/ W( Q% f5 E

* w- M' ?( a1 H

# } d' u- E+ D) F   " X7 {7 U4 g: o w$ y/ k

! S7 m4 C0 v. U7 g+ Y9 N

        } 6 ^$ v& P; I4 b5 T9 M/ a. _

6 o/ A7 p P+ k+ h

- L2 G8 G* u% R. T) [         $this->userid = $_userid; 3 N" e$ [. }& J) ~' P, b- Q6 t

) f7 }( o/ V, d9 C+ e         $this->ext = file_ext($this->file_name); A$ V4 t9 ~ D" C% k- l s9 u

* l; Z% d1 ?' L# q; Z5 v) [8 C

; e( q( l( i9 E/ ~7 z6 J         $this->fileformat = $fileformat ? $fileformat : $DT['uploadtype']; ) N/ t( Z [( p0 ~/ e5 L( \. n" B

        $this->maxsize = $DT['uploadsize'] ? $DT['uploadsize']*1024 : 2048*1024;

: ?4 f2 _. c( a& S% o( o; S/ ?

        $this->savepath = $savepath; - Z$ V! M4 L' g

. q. l" |- j( a! X: P& E ~

3 j" ^$ w+ G+ ]- x         $this->savename = $savename;

$ R; i w. J! p/ o% [) c4 z7 G     }} , \( p/ Y, ~( ]/ R# W

7 `/ P% \1 b7 ? 这里通过foreach($_file as $file)来遍历初始化各项参数。而savepath、savename则是通过__construct($_file, $savepath, $savename = '', $fileformat = '')直接传入参数指定。 $ u+ {% Y) _- Y" r4 L/ e6 ]; a

8 i. D2 Q6 t8 B. T) h* ] 因此考虑上传了两个文件，第一个文件名是1.php，第二个文件是1.jpg，只要构造合理的表单上传（参考：https://www.cnblogs.com/DeanChopper/p/4673577.html），则在avatar.inc.php中

( \0 a7 J. Z% k# d- v( N, k) t* { $ext = file_ext($_FILES['file']['name']); // `$ext`即为`php` $name = 'avatar'.$_userid.'.'.$ext; // $name 为 'avatar'.$_userid.'.'php'$file = DT_ROOT.'/file/temp/'.$name; // $file 即为 xx/xx/xx/xx.php $ n( V, _9 q' G0 P8 T

8 }" F( O6 b0 `: _$ K4 V0 L

而在upload类中，由于多个文件上传，$this->file、$this->file_name、$this->file_type将foreach在第二次循环中被置为jpg文件。测试如下：

* B7 \, ?8 r9 _( t- S. D5 M

  ( l) _+ d; C$ l4 Z* _) B1 c: E

k; @: [ W; F; H9 T 回到avatar.inc.php，当进行文件保存时调用$upload->save()，include/upload.class.php:50:

<?phpclass upload {

    function save() { ! a7 b! d! m( v) N t# g

        include load('include.lang');

3 m; w q: ?8 c; p! g* ?

* j1 D l/ z% |% a- W) h         if($this->file_error) return $this->_('Error(21)'.$L['upload_failed'].' ('.$L['upload_error_'.$this->file_error].')'); " b* K! a& }' d9 |: S

7 D+ r3 c# ~4 w8 O$ s

  & A" a" b7 q6 `! u

        if($this->maxsize > 0 && $this->file_size > $this->maxsize) return $this->_('Error(22)'.$L['upload_size_limit'].' ('.intval($this->maxsize/1024).'Kb)'); $ F$ W8 u2 [) q3 S. O' Z

0 B/ g! f+ b5 q9 @8 n" E

  ( n$ G6 I& B/ X* W$ u8 P

, v# s7 f; k5 v0 U" A/ H

        if(!$this->is_allow()) return $this->_('Error(23)'.$L['upload_not_allow']);

" e: c8 R8 V% _- _  

) A/ m9 Q, z$ g8 Q7 I1 e* O

        $this->set_savepath($this->savepath); 5 H. ?$ m6 _3 [

' Q* J a- g# Y: i

        $this->set_savename($this->savename);

  * m9 |8 B6 v: R' z4 C

        if(!is_writable(DT_ROOT.'/'.$this->savepath)) return $this->_('Error(24)'.$L['upload_unwritable']); M3 P K, H* d1 W$ D0 [$ }+ x8 r

3 T: d! T% O9 x; b" P

) b2 `; b9 b s# Y4 `) _         if(!is_uploaded_file($this->file)) return $this->_('Error(25)'.$L['upload_failed']); 6 D! P8 w1 n/ W) X# |

. U2 x% D; b3 ~9 k* M

9 G3 X% o1 f# M6 o         if(!move_uploaded_file($this->file, DT_ROOT.'/'.$this->saveto)) return $this->_('Error(26)'.$L['upload_failed']); - J( V3 @7 ~6 \0 c

 

7 V8 V' n: ]' ?2 {4 S3 j         $this->image = $this->is_image();

. N, b3 v% p* V+ ?6 K         if(DT_CHMOD) @chmod(DT_ROOT.'/'.$this->saveto, DT_CHMOD); ) d, j _4 l1 E# e6 N. }! |

' B j, l" R# Q- _         return true;

. X# k6 ]9 W8 i. ? `: E9 n6 C

    }}

8 J, k$ y2 d8 e/ d0 Z* A9 p

2 H$ W; G2 H( n( \2 e( P4 o 先经过几个基本参数的检查，然后调用$this->is_allow()来进行安全检查 include/upload.class.php:72：

<?php

/ v ^# J. O L- b8 T

' Q" }4 b- v8 _; E% z     function is_allow() { 6 v8 G, S! h1 |/ E% P

        if(!$this->fileformat) return false;

        if(!preg_match("/^(".$this->fileformat.")$/i", $this->ext)) return false;

9 f- L+ ^. N1 M( [/ B$ x! _         if(preg_match("/^(php|phtml|php3|php4|jsp|exe|dll|cer|shtml|shtm|asp|asa|aspx|asax|ashx|cgi|fcgi|pl)$/i", $this->ext)) return false; 6 \. V% U# |+ j, u3 d

        return true;

    } / n# z* x# B. K! r% g

! C8 t# T! j4 w, E$ Z

# o5 ?% c1 _) ~, r2 y# O, a9 V 可以看到这里仅仅对$this->ext进行了检查，如前此时$this->ext为jpg，检查通过。

8 j: l: F/ w( G+ h# S 接着会进行真正的保存。通过$this->set_savepath($this->savepath); $this->set_savename($this->savename);设置了$this->saveto，然后通过move_uploaded_file($this->file, DT_ROOT.'/'.$this->saveto)将file保存到$this->saveto ，注意此时的savepath、savename、saveto均以php为后缀，而$this->file实际指的是第二个jpg文件。

8 N; H" O0 Z- T" ^ 漏洞利用 2 b2 u6 w/ r, B9 M2 {8 ^

3 b7 Q- U: Z" f2 `5 L/ y 综上，上传两个文件，其中第一个文件以php为结尾如1.php，用于设置后缀名为php；第二个文件为1.jpg，jpg用于绕过检测，其内容为php一句话木马(图片马)。

  # a& Y6 p9 w+ y1 ~

, G/ g1 s7 U3 W. u 然后访问http://127.0.0.1/file/temp/avatar1.php 即可。其中1是自己的_userid

; m! p$ z' Q6 B) P5 K 不过实际利用上会有一定的限制。 # H4 B, q+ p3 a8 U8 q4 ^: F# P3 m

0 v" s9 J: L$ A3 |. t

第一点是destoon使用了伪静态规则，限制了file目录下php文件的执行。

9 x8 I2 w$ B( D9 o X2 |

4 R' ~1 Z# p }. B- N& q/ S) i( l6 w   I9 f5 O: R$ W- G- n% F; \

2 Q/ L0 K ^" O. g 第二点是avatar.inc.php中在$upload->save()后，会再次对文件进行检查，然后重命名为xx.jpg：

省略...$img = array();$img[1] = $dir.'.jpg';$img[2] = $dir.'x48.jpg';$img[3] = $dir.'x20.jpg';$md5 = md5($_username);$dir = DT_ROOT.'/file/avatar/'.substr($md5, 0, 2).'/'.substr($md5, 2, 2).'/_'.$_username;$img[4] = $dir.'.jpg';$img[5] = $dir.'x48.jpg';$img[6] = $dir.'x20.jpg';file_copy($file, $img[1]);file_copy($file, $img[4]);省略...

& I4 [! n0 g9 M7 G8 v

因此要利用成功就需要条件竞争了。 - o% j' B2 N4 m& E

补丁分析

3 Y( Q7 R( O( f& ^, g1 \   2 Z0 ?9 i6 o" Q6 v* b& ?8 `: f+ X& \

4 X+ t/ }9 A1 g0 F! k) U, Y

在upload的一开始，就进行一次后缀名的检查。其中is_image如下：

function is_image($file) {    return preg_match("/^(jpg|jpeg|gif|png|bmp)$/i", file_ext($file));} 7 ^( c. E' a8 p* O R* M p

+ u7 j/ F+ ]$ }' E+ u$ D   0 X; m' S. q, }9 D9 t% T

; D' C, E g% p" \ 在__construct()的foreach中使用了break，获取了第一个文件后就跳出循环。 2 u1 q2 C$ t! `

w2 o2 V d: u1 P# J9 v0 {8 B

在is_allow()中增加对$this->savename的二次检查。

8 p9 S: v; M {! q7 w4 g6 x7 ?+ y U

( ]* L; e+ p6 f- t0 }( a 最后

! P+ C" g8 n# @& H

嘛，祝各位大师傅中秋快乐！

' ?( O/ V4 Y4 y" w  

6 l7 D8 K, m! \# J6 ~