Destoon cms前台getwebshell

admin

3 I/ \4 R, b9 j9 k2 S% Z( F8 Y

0 G- `6 Z: _( ]( A! w 前言 1 L* b1 @4 Z/ ]) v8 z

}9 j* [' u$ m# D# Q3 f+ T 2018年9月21日，Destoon官方发布安全更新，修复了由用户“索马里的海贼”反馈的一个漏洞。 0 p; m( ^# b2 e+ Q" F

 

. P9 R; ?6 P* Z5 K! A6 J$ ]

$ U: F2 o$ i l0 o" B6 c2 X 漏洞分析 ( D- |& y I7 j) k# u) p% z

! {. R5 R0 V ^0 U3 i0 S! G8 h# U$ @

根据更新消息可知漏洞发生在头像上传处。Destoon中处理头像上传的是 module/member/avatar.inc.php 文件。在会员中心处上传头像时抓包，部分内容如下：

1 o5 g! w( ~) \2 t, R5 _' V% R0 H

  . F- e* p. B9 Z1 d; C

! H; P' V$ ~: N3 x, G5 R0 Q, u 对应着avatar.inc.php代码如下： 7 \8 I# E2 S* u; n' ^

9 f' s# u" p4 x7 C. _) q. S! X/ Y <?php defined('IN_DESTOON') or exit('Access Denied');login();require DT_ROOT.'/module/'.$module.'/common.inc.php';require DT_ROOT.'/include/post.func.php';$avatar = useravatar($_userid, 'large', 0, 2);switch($action) { 1 R. V% X: c# N# t7 w

) C5 K3 T0 T& R% @     case 'upload': ' P+ |( H* o9 E+ d4 b

1 H: ]6 m! m, |: A3 P6 u

* y+ s4 Z% K( r k% h         if(!$_FILES['file']['size']) {

            if($DT_PC) dheader('?action=html&reload='.$DT_TIME); ! q+ D3 c+ B M' s7 ?/ M

0 H t: Y/ o# R o R) I& K

/ S* y, d2 p7 {/ f- k             exit('{"error":1,"message":"Error FILE"}');

- [8 Z: G0 r, d8 t

: K6 a+ \6 Z3 y- j' p7 Z0 v         } 6 G/ u2 j! x/ f" z8 D1 ~

9 `* G, N7 Y6 r( e( T4 {+ R# O9 C

3 a0 k2 E# _& O! ]/ E         require DT_ROOT.'/include/upload.class.php';

. [/ u" J4 C" p6 e5 y6 {' H0 C

 

n! A5 U5 D/ K# e

        $ext = file_ext($_FILES['file']['name']);

1 m4 F9 }% L' K/ l2 t( q7 ~* \. ]

! ], X) ? G ~! {# ~         $name = 'avatar'.$_userid.'.'.$ext;

: H, ?! p5 d$ K1 m- h

u' t, D: ]* _' R         $file = DT_ROOT.'/file/temp/'.$name; . V5 m7 Q( W8 P- s7 c

/ b' E3 K. S- Z1 j6 q' ^# O2 D* T

 

        if(is_file($file)) file_del($file); , e7 ^- k/ ]0 Z* ^. T

) O! ^# H6 ~" @

        $upload = new upload($_FILES, 'file/temp/', $name, 'jpg|jpeg|gif|png'); ; ]' F, u8 t" V4 V6 c

C& p% w2 X) X# H6 L/ ?

 

9 N' M/ d5 [% i- \9 o% p+ b         $upload->adduserid = false; / a% o5 J T* V* l- w2 {

 

4 j( ?4 H* C- b& f3 s. ^7 i0 Q Y* M: O

2 {% O+ r! O# i6 ~3 a         if($upload->save()) {

0 C" Q% F+ p- l) e

            ...

        } else {

            ... 7 ~! h+ w6 R2 f4 L

+ Y5 v0 I& H3 G& Z         }

' K" F+ N, W) `6 t7 I

    break; , E) k6 Y! N4 A9 N& l8 w

5 b" h; D: E) a/ c 这里通过$_FILES['file']依次获取了上传文件扩展名$ext、保存临时文件名$name、保存临时文件完整路径$file变量。之后通过new upload();创立一个upload对象，等到$upload->save()时再将文件真正写入。

upload对象构造函数如下，include/upload.class.php:25：

" V2 r% x" x# S& ]3 X

3 x4 A, m7 ^* }5 Z) A/ y <?phpclass upload { * T! f7 ^( K1 j5 \! ^2 g

    function __construct($_file, $savepath, $savename = '', $fileformat = '') {

        global $DT, $_userid; % }3 E7 W( e( z# q3 d: Y- r4 L4 X

        foreach($_file as $file) {

- T2 ^7 V ?4 o$ O8 p

P& F: v& _7 E! Z8 G/ z2 b3 A; u             $this->file = $file['tmp_name']; ; M9 d4 J+ n8 W X% {. j) H

            $this->file_name = $file['name'];

* d6 {$ ]/ k- }) G" K* D4 g1 ^

            $this->file_size = $file['size'];

            $this->file_type = $file['type'];

! r$ a# \6 d! A3 Y- n9 b# F3 `             $this->file_error = $file['error']; + N: K/ _; B0 H4 a& f

r" k- ~6 Q% D7 m8 j9 E  

        } 0 `: ^* Q& m1 y6 ~; [

/ O9 ?8 a" h$ E$ _$ E( X

        $this->userid = $_userid;

6 |" y4 L/ U" ?" ?         $this->ext = file_ext($this->file_name);

! O8 U' l5 E' V5 O. [# p         $this->fileformat = $fileformat ? $fileformat : $DT['uploadtype']; & ^$ j( X; d) m1 X

, ]$ b4 o7 S4 C( j- J# A6 B

: {. E m a! g* x         $this->maxsize = $DT['uploadsize'] ? $DT['uploadsize']*1024 : 2048*1024;

% u4 f7 c7 q) A4 t# B4 O

        $this->savepath = $savepath; / ?: ~! _5 ]$ y

        $this->savename = $savename;

    }}

3 R7 C# |3 E5 ~; R, S* q

0 B/ h1 G4 M% a; v2 a 这里通过foreach($_file as $file)来遍历初始化各项参数。而savepath、savename则是通过__construct($_file, $savepath, $savename = '', $fileformat = '')直接传入参数指定。 : K* }8 h, D' k) G

4 I# W5 b1 z" h$ r$ f 因此考虑上传了两个文件，第一个文件名是1.php，第二个文件是1.jpg，只要构造合理的表单上传（参考：https://www.cnblogs.com/DeanChopper/p/4673577.html），则在avatar.inc.php中

: P* A: |8 e6 K

3 d8 z4 B& X5 p* M4 D& f! g$ @ $ext = file_ext($_FILES['file']['name']); // `$ext`即为`php` $name = 'avatar'.$_userid.'.'.$ext; // $name 为 'avatar'.$_userid.'.'php'$file = DT_ROOT.'/file/temp/'.$name; // $file 即为 xx/xx/xx/xx.php ) G7 Y d( a! p: i

- M; @- S W# j4 E

. Q$ b5 F( r) z 而在upload类中，由于多个文件上传，$this->file、$this->file_name、$this->file_type将foreach在第二次循环中被置为jpg文件。测试如下： 2 o+ P$ l: g8 `' |4 z/ d3 v

8 w |" P t5 A( U! `% h

  * p! Z! I8 u: c" ^7 S! \0 l4 a" G6 z

) k) Y! {8 h' C" b+ W2 ?+ ~4 q

9 n c+ e* M/ O# c* U 回到avatar.inc.php，当进行文件保存时调用$upload->save()，include/upload.class.php:50: ) d$ g: X3 s; ]% ^4 K2 W: \/ g9 ]$ G

* I, ^6 L( T: U

<?phpclass upload {

) h9 L: |! w5 w

    function save() {

0 @2 Y& [+ c" q: L9 d* X

        include load('include.lang'); - b( Z9 }4 x, I

1 V5 x4 r5 N/ e. }9 y

        if($this->file_error) return $this->_('Error(21)'.$L['upload_failed'].' ('.$L['upload_error_'.$this->file_error].')');

  . i6 N/ p0 C3 K& ~

0 N( N+ R8 ]3 c9 |4 Y         if($this->maxsize > 0 && $this->file_size > $this->maxsize) return $this->_('Error(22)'.$L['upload_size_limit'].' ('.intval($this->maxsize/1024).'Kb)');

, O( P, \6 }0 ?/ q4 g/ ?

  & W! O2 z, m3 {. J j9 P; K1 P$ ?. m

        if(!$this->is_allow()) return $this->_('Error(23)'.$L['upload_not_allow']); ( u+ e8 a: B. @: o. _, x) O

e. g- g3 h/ S5 G3 A" Y. I4 L6 C8 S   " p. x' w8 M7 B

        $this->set_savepath($this->savepath); ( @9 L" q$ p/ `6 Z) X

0 @/ ]. A3 p7 D( A         $this->set_savename($this->savename); ! j$ w# t+ i3 T! x

0 b; J! G( Q6 b0 D" j' D  

        if(!is_writable(DT_ROOT.'/'.$this->savepath)) return $this->_('Error(24)'.$L['upload_unwritable']); / A0 X. g6 m" t; T# _

( D# L% ^9 P" q0 o5 M

4 ]/ i4 Z+ M" y: e% d2 Z, k% _' f         if(!is_uploaded_file($this->file)) return $this->_('Error(25)'.$L['upload_failed']);

        if(!move_uploaded_file($this->file, DT_ROOT.'/'.$this->saveto)) return $this->_('Error(26)'.$L['upload_failed']);

1 p0 N! l4 H' k K" @& Z

; W4 }9 d# \" G! t" z. v   % b+ \( ]+ h2 M4 t

+ r, W% I1 U" o/ k% S% S$ E6 P         $this->image = $this->is_image();

7 X3 X; ^8 P9 q$ g% V, ^& B

        if(DT_CHMOD) @chmod(DT_ROOT.'/'.$this->saveto, DT_CHMOD);

        return true;

8 s; j: Z" o& R9 z/ |& ^

    }} 1 h1 Z- [8 A! S& ~. c

先经过几个基本参数的检查，然后调用$this->is_allow()来进行安全检查 include/upload.class.php:72：

! ^5 Z( a! Y1 ?- |4 ?' T

& p( N h6 {3 G <?php 4 M4 J$ Q% j' j4 X! J( e* H3 }

    function is_allow() { 2 d' ?# s& Z% A6 u& @/ N

9 E4 v2 _, o$ e! b7 Z" y* b& D

        if(!$this->fileformat) return false; 6 e0 Z+ S6 }" I# h5 e: C

5 f0 {# d) @" {) l" V8 S9 q6 W         if(!preg_match("/^(".$this->fileformat.")$/i", $this->ext)) return false;

        if(preg_match("/^(php|phtml|php3|php4|jsp|exe|dll|cer|shtml|shtm|asp|asa|aspx|asax|ashx|cgi|fcgi|pl)$/i", $this->ext)) return false;

2 B( j& h: j Y3 f2 v- _

# w3 q o- ~3 w' w8 }0 W- l9 q q         return true; ( G$ t0 h# K! @1 E3 s

4 m8 v( h7 m& F# r( m% j! _     } ! o4 G4 w1 C2 H2 U+ q

3 r4 G( c5 \1 b5 _9 H

可以看到这里仅仅对$this->ext进行了检查，如前此时$this->ext为jpg，检查通过。

接着会进行真正的保存。通过$this->set_savepath($this->savepath); $this->set_savename($this->savename);设置了$this->saveto，然后通过move_uploaded_file($this->file, DT_ROOT.'/'.$this->saveto)将file保存到$this->saveto ，注意此时的savepath、savename、saveto均以php为后缀，而$this->file实际指的是第二个jpg文件。 " J$ R7 E! Y# f. ~& {

3 W1 a9 f& b5 ^8 Z 漏洞利用

综上，上传两个文件，其中第一个文件以php为结尾如1.php，用于设置后缀名为php；第二个文件为1.jpg，jpg用于绕过检测，其内容为php一句话木马(图片马)。 & e; S# ~& m* k8 o+ w2 ~) h+ q

& S8 ?+ P8 |; n, _- j, g

 

然后访问http://127.0.0.1/file/temp/avatar1.php 即可。其中1是自己的_userid " N7 x3 Y L7 a& u- U6 F3 W5 p

! I0 Y+ z e7 R3 R0 @: e

不过实际利用上会有一定的限制。 , M5 g* [% h0 M- {+ Y3 C

7 {" U/ I0 d. R+ W" c& r: S: ~

第一点是destoon使用了伪静态规则，限制了file目录下php文件的执行。 0 j5 n& _4 L }- d# K% S

. b9 }% i* i+ o- F+ k0 B3 ^2 ^* x

  8 l$ H( S {/ e

, p N! r- g$ L( e2 a; i- b6 r) O

第二点是avatar.inc.php中在$upload->save()后，会再次对文件进行检查，然后重命名为xx.jpg：

省略...$img = array();$img[1] = $dir.'.jpg';$img[2] = $dir.'x48.jpg';$img[3] = $dir.'x20.jpg';$md5 = md5($_username);$dir = DT_ROOT.'/file/avatar/'.substr($md5, 0, 2).'/'.substr($md5, 2, 2).'/_'.$_username;$img[4] = $dir.'.jpg';$img[5] = $dir.'x48.jpg';$img[6] = $dir.'x20.jpg';file_copy($file, $img[1]);file_copy($file, $img[4]);省略...

$ ?- m1 ~6 V& {" d4 n! j

因此要利用成功就需要条件竞争了。 ; @; D. o* K+ K/ I* r

补丁分析

6 W9 j0 C# k4 {   . J, V) Y! B: d1 M1 X

3 n1 P7 r. w8 _

在upload的一开始，就进行一次后缀名的检查。其中is_image如下：

+ K# L' o8 x) O

/ p3 Q6 M4 r/ {+ v+ Z& e function is_image($file) {    return preg_match("/^(jpg|jpeg|gif|png|bmp)$/i", file_ext($file));}

5 U- B+ \' Q. l

. y: }4 a/ Q( s& f, s  

, X! K# Z; o7 d

在__construct()的foreach中使用了break，获取了第一个文件后就跳出循环。 : v" O0 {, n3 b

" z6 s# U& V7 t6 W0 y! \. s2 E

在is_allow()中增加对$this->savename的二次检查。

8 Z% r( Q! y4 W4 e* T5 F 最后 " u3 _; m9 T; R2 b! r

嘛，祝各位大师傅中秋快乐！

2 x1 Q9 g: J7 q- ?

  C" C$ g. _9 K& c# J" ]