Destoon cms前台getwebshell

admin

% H* r# L6 C* s* F9 C9 s0 Q) |- A) w

* I9 t4 m8 c5 |

. T/ f7 [4 D* K 前言

: Q9 K1 q/ m8 Z: Z6 N

. q+ N& B3 F- X) W 2018年9月21日，Destoon官方发布安全更新，修复了由用户“索马里的海贼”反馈的一个漏洞。 ( f& U' e9 w: A t( X/ h

* w. V2 y) N- p K/ _  

- f5 d s0 |% z$ _

漏洞分析 8 s3 X# [$ P8 @, A

: P) O: Y% ?" o7 }% W3 x% W 根据更新消息可知漏洞发生在头像上传处。Destoon中处理头像上传的是 module/member/avatar.inc.php 文件。在会员中心处上传头像时抓包，部分内容如下：

, o5 g2 N; `, A: A% m$ m( q  

1 K) Y) z% h+ f* j5 U

对应着avatar.inc.php代码如下：

7 V9 {" _7 G+ ] <?php defined('IN_DESTOON') or exit('Access Denied');login();require DT_ROOT.'/module/'.$module.'/common.inc.php';require DT_ROOT.'/include/post.func.php';$avatar = useravatar($_userid, 'large', 0, 2);switch($action) {

- }0 Q9 v+ `2 R     case 'upload': 1 |# ?2 C4 v, {) {

4 M4 U7 t# {' l$ R         if(!$_FILES['file']['size']) { % Y/ m l1 d7 F' Q( H/ h( `) V

' ^! P. e% P2 ]; F# ]! J8 j

            if($DT_PC) dheader('?action=html&reload='.$DT_TIME);

+ [2 g6 p2 l( q7 o5 {

            exit('{"error":1,"message":"Error FILE"}'); " W- F6 l) c+ M6 p4 ]0 t! n5 g

9 K' ?* j% F2 T& o/ T         }

: n9 ?7 g) t- ?2 X         require DT_ROOT.'/include/upload.class.php'; " U* q1 Y4 V0 k0 Z: P

 

        $ext = file_ext($_FILES['file']['name']);

$ m1 p; ^& r- r/ ^2 [6 C; S% |. c |

: e) j$ @1 s$ `4 j         $name = 'avatar'.$_userid.'.'.$ext;

+ _% z! R" a0 [8 V) L4 L/ z         $file = DT_ROOT.'/file/temp/'.$name;

. F! B' L3 ~# Z& B: g, I

  - K3 s' X) o$ Q/ C8 ?" Q

        if(is_file($file)) file_del($file); $ k* T3 R# W& b

4 }2 O. `; A! Q6 U1 }         $upload = new upload($_FILES, 'file/temp/', $name, 'jpg|jpeg|gif|png'); / P+ x! u5 L" ^. g7 D# o. [/ }; @

3 R# o/ }( Z) i; l

  ' q7 {) i$ U5 e( \4 y

1 L1 g3 i" K' Z: }         $upload->adduserid = false;

7 e6 @! l7 i( m7 C' P" u  

# s5 j5 F1 p7 U. e J3 Q

        if($upload->save()) {

- ]3 G( ]( z9 g( z$ s1 F8 @             ...

        } else { , ]0 }$ C! |$ E

9 y" q; n, a. P

4 _1 b( P7 Z9 L z9 f             ...

( R% y. L* X( E( p5 S

        }

% ?" B, \, F4 ~' W. g) s- x( b4 M& Y     break; 8 N, B2 C- }/ ]0 t* x

3 [; L, m6 M( G3 x" n* ?- u7 ~

这里通过$_FILES['file']依次获取了上传文件扩展名$ext、保存临时文件名$name、保存临时文件完整路径$file变量。之后通过new upload();创立一个upload对象，等到$upload->save()时再将文件真正写入。

upload对象构造函数如下，include/upload.class.php:25：

% w1 g# i2 E; I. {# L" ]

" l+ d: ~# ~0 w' D2 H <?phpclass upload {

' m' T: ^6 e' P0 U     function __construct($_file, $savepath, $savename = '', $fileformat = '') {

/ Q7 q N5 A2 J$ z+ U+ t

        global $DT, $_userid; * D9 c! i+ ^- f* \

6 k1 h, n+ S0 e) \; S: C) }9 m- d         foreach($_file as $file) { + t0 ~6 O1 f0 s5 N% Z" @

; }: D& t- r3 d- z7 ~# V2 r             $this->file = $file['tmp_name']; 8 |" y. M6 d) k# g' z

4 y3 U6 Q) B6 {. E6 x- Q1 x) t4 d4 a

            $this->file_name = $file['name'];

- ]- I# l# y4 |5 `, V             $this->file_size = $file['size'];

9 n O( a& }7 g" g; Y- A

            $this->file_type = $file['type']; $ Q9 ^, g1 }2 d/ C

1 {9 N4 i/ d. O2 N2 O: N1 J             $this->file_error = $file['error'];

8 `# | V8 N( P$ `# C o- L$ |

, ?$ {" W- R8 f3 R7 [  

% q3 [7 L5 A, M5 ^2 D- @2 g7 m

1 N! A+ @- x0 Y$ ?6 X         } ' r) I% a, ?$ c) ?

3 X: N1 ?) f8 d q7 l

9 O/ B: k6 u# z0 x1 V6 E! w         $this->userid = $_userid;

" e8 q. ^9 t' t1 h7 e2 v( l

        $this->ext = file_ext($this->file_name);

0 ^6 J# O2 d% R. r& y' a4 N6 ~% N

        $this->fileformat = $fileformat ? $fileformat : $DT['uploadtype']; ) v8 l. U" G1 J+ a! |$ ?

5 d) M. D$ I* g! b

2 \/ }0 C- M' D5 K" C         $this->maxsize = $DT['uploadsize'] ? $DT['uploadsize']*1024 : 2048*1024;

2 C- N; J6 a7 ^/ K* q

4 J# N+ ^1 R/ i. z2 C' T5 T         $this->savepath = $savepath;

        $this->savename = $savename;

' k W4 J2 i6 Z* K6 O: l) q4 ]7 ~     }}

这里通过foreach($_file as $file)来遍历初始化各项参数。而savepath、savename则是通过__construct($_file, $savepath, $savename = '', $fileformat = '')直接传入参数指定。 ! S, t3 h! q; h# Z' V7 S

7 M9 p! A4 m# E" p$ Z

因此考虑上传了两个文件，第一个文件名是1.php，第二个文件是1.jpg，只要构造合理的表单上传（参考：https://www.cnblogs.com/DeanChopper/p/4673577.html），则在avatar.inc.php中 * p& W3 _1 Y& p2 ^3 E$ \& R

' p4 g0 }& b, N

$ext = file_ext($_FILES['file']['name']); // `$ext`即为`php` $name = 'avatar'.$_userid.'.'.$ext; // $name 为 'avatar'.$_userid.'.'php'$file = DT_ROOT.'/file/temp/'.$name; // $file 即为 xx/xx/xx/xx.php . ]- B s( {# s( {: u2 Q

5 d( ~% |3 X3 X( |

而在upload类中，由于多个文件上传，$this->file、$this->file_name、$this->file_type将foreach在第二次循环中被置为jpg文件。测试如下：

, K+ @0 A$ H0 X" p0 K

 

( V, O" j& Y7 o0 }

回到avatar.inc.php，当进行文件保存时调用$upload->save()，include/upload.class.php:50: * Y0 {; k% ]: K

% h0 k1 ?! f" `3 T7 |" b1 r# b

1 C% Z' [% z3 J2 a ? <?phpclass upload {

* Q9 N: q' b$ k/ _4 s5 I6 T) ~

    function save() {

        include load('include.lang'); ! _+ N. D8 j! C. K

        if($this->file_error) return $this->_('Error(21)'.$L['upload_failed'].' ('.$L['upload_error_'.$this->file_error].')');

 

# G D0 b$ ?$ n0 o* |- @" A         if($this->maxsize > 0 && $this->file_size > $this->maxsize) return $this->_('Error(22)'.$L['upload_size_limit'].' ('.intval($this->maxsize/1024).'Kb)'); + R$ X7 r, r+ D6 m. ]8 `! A

  ) q l# @; D8 @4 ~4 F! B' R; m

% Q& z- Y# Z5 E/ }" E; |! V9 E ?! o

        if(!$this->is_allow()) return $this->_('Error(23)'.$L['upload_not_allow']); + O: J; m) e. w4 V

6 {/ Q7 V6 o- L& @( |! _   # e$ g$ U. u M3 K% V

2 [2 \) s, E/ U0 f0 f( K

$ D8 a, Q9 J) \( `. r. X/ U6 F         $this->set_savepath($this->savepath); & A9 R& j* |6 O$ {9 w* s3 o4 [$ L

        $this->set_savename($this->savename); : g5 F1 D7 v7 K$ i) n4 y" e

  : i1 L& M- q* \

) k! F* F0 h, x7 j. l1 x         if(!is_writable(DT_ROOT.'/'.$this->savepath)) return $this->_('Error(24)'.$L['upload_unwritable']);

$ s) k1 K5 E8 k1 S. a! y6 P# K* W$ O

( \2 D1 w4 L3 S& I         if(!is_uploaded_file($this->file)) return $this->_('Error(25)'.$L['upload_failed']);

$ f+ T& X* }7 P. _, w7 y6 ^

5 R; y$ w$ D0 |% |: ]+ `* F7 O         if(!move_uploaded_file($this->file, DT_ROOT.'/'.$this->saveto)) return $this->_('Error(26)'.$L['upload_failed']); : U8 [6 `) K: b0 T6 Z$ u

& v0 Q( X) J6 Q' S6 M( s

% a7 x: j* h+ u! Y! ]: G   0 o& y7 R" m7 W% _4 v

2 z' f- o8 k- @) N" [1 P         $this->image = $this->is_image(); # ?6 ^7 V* l. L, q. F

3 f8 P; n9 Y9 P7 g- T8 Q8 j         if(DT_CHMOD) @chmod(DT_ROOT.'/'.$this->saveto, DT_CHMOD); " w( ~0 U1 e# R$ s/ B" r

        return true; . S C. k9 _* o

5 q' C w5 n0 i7 B: ?. b

    }}

) e2 G" f- j5 C c8 u: N

! I3 r6 g1 J2 u: r 先经过几个基本参数的检查，然后调用$this->is_allow()来进行安全检查 include/upload.class.php:72： ; f; x: p, W, I! l* [

<?php

' I2 Z% J! Z6 i6 }4 @' h+ k& e- Q     function is_allow() {

        if(!$this->fileformat) return false;

" w. L: F5 k, z G0 u) S9 C+ H' {; F

        if(!preg_match("/^(".$this->fileformat.")$/i", $this->ext)) return false; 5 Q+ d) E" q$ ~) w, N0 H1 K U

0 n4 a u ^3 f3 n! l; r3 H         if(preg_match("/^(php|phtml|php3|php4|jsp|exe|dll|cer|shtml|shtm|asp|asa|aspx|asax|ashx|cgi|fcgi|pl)$/i", $this->ext)) return false;

        return true;

- v l6 h# r- h/ h9 ] w     }

可以看到这里仅仅对$this->ext进行了检查，如前此时$this->ext为jpg，检查通过。

接着会进行真正的保存。通过$this->set_savepath($this->savepath); $this->set_savename($this->savename);设置了$this->saveto，然后通过move_uploaded_file($this->file, DT_ROOT.'/'.$this->saveto)将file保存到$this->saveto ，注意此时的savepath、savename、saveto均以php为后缀，而$this->file实际指的是第二个jpg文件。 - U2 e# s: J" j& F6 E$ t5 r

. I% {( d' ]6 g1 p& ~4 ?

漏洞利用

' z* y7 m& c. J3 n

综上，上传两个文件，其中第一个文件以php为结尾如1.php，用于设置后缀名为php；第二个文件为1.jpg，jpg用于绕过检测，其内容为php一句话木马(图片马)。

9 {% ^* T/ g; @

  3 {4 _2 g) S' M- r

( ~/ n; W' X) H# `" f/ z8 A0 f; a" }

然后访问http://127.0.0.1/file/temp/avatar1.php 即可。其中1是自己的_userid 8 }" O6 E. A8 |# t

不过实际利用上会有一定的限制。 ) u+ g( f; h+ j6 l. t5 i

- V4 H4 Q; g: q, {1 B

& ?( b" Q. e$ ]& T% ` n. A- v 第一点是destoon使用了伪静态规则，限制了file目录下php文件的执行。 0 s7 M0 J6 x2 v9 t" [& H- z

/ g' v9 n. s7 }7 Z* d6 a

  + ?0 B6 B2 _: G7 |

- ~* s0 F; _* u1 d9 } 第二点是avatar.inc.php中在$upload->save()后，会再次对文件进行检查，然后重命名为xx.jpg： , X1 ^3 j% B, D2 A* r- @" z$ l. B2 h* U

省略...$img = array();$img[1] = $dir.'.jpg';$img[2] = $dir.'x48.jpg';$img[3] = $dir.'x20.jpg';$md5 = md5($_username);$dir = DT_ROOT.'/file/avatar/'.substr($md5, 0, 2).'/'.substr($md5, 2, 2).'/_'.$_username;$img[4] = $dir.'.jpg';$img[5] = $dir.'x48.jpg';$img[6] = $dir.'x20.jpg';file_copy($file, $img[1]);file_copy($file, $img[4]);省略... + v' G% N( R0 P) ~4 C+ X$ t& C

因此要利用成功就需要条件竞争了。 8 U% u2 L/ [/ \; c9 }& K0 z P

. `5 U/ _0 v- o+ N% o" N 补丁分析

  & L* t. T$ Q* ]& A4 N) I

: W" i* t- G9 e( I 在upload的一开始，就进行一次后缀名的检查。其中is_image如下：

function is_image($file) {    return preg_match("/^(jpg|jpeg|gif|png|bmp)$/i", file_ext($file));}

! U- L( Z h0 M, O( O4 H

1 ~# h8 \# R' ^; d% ~   3 g5 s' C. W3 Y# A) M

2 b6 O. H& v4 ^+ u5 n 在__construct()的foreach中使用了break，获取了第一个文件后就跳出循环。

在is_allow()中增加对$this->savename的二次检查。

9 K# J' H2 P2 }; W# T4 W

最后

- a: @# S J: a

# q6 x, R# l+ d" p! l: J 嘛，祝各位大师傅中秋快乐！ V7 O! e3 o3 P+ e8 {

8 n/ v; K2 k# N: p& x7 B5 t6 \

0 t6 x/ P, M, }% i   ! z* [4 i( `# Q1 L7 ^3 g& @

. `0 x8 X/ r0 {1 o- _5 b