Destoon cms前台getwebshell

admin

前言

2 L% A' M4 e2 x& h3 R

2018年9月21日，Destoon官方发布安全更新，修复了由用户“索马里的海贼”反馈的一个漏洞。

! k' L4 @, E4 t$ R

; a7 D/ A( a- \, Z) i% {   & L# i7 _/ W0 c; F3 _8 `

0 B O+ Q0 T% ]( l1 o T- [: Z/ z& R3 c

漏洞分析

q$ E7 _1 i1 S% `+ y7 |

% c6 T* _& s& ~/ f0 m 根据更新消息可知漏洞发生在头像上传处。Destoon中处理头像上传的是 module/member/avatar.inc.php 文件。在会员中心处上传头像时抓包，部分内容如下：

0 B1 ^% g5 \5 X, l8 z' W( d   ' ^3 j3 l6 U* g+ Y$ J! O

对应着avatar.inc.php代码如下： , k; r0 H9 Z& h" O8 t

8 N8 T, v) S3 Z- v

<?php defined('IN_DESTOON') or exit('Access Denied');login();require DT_ROOT.'/module/'.$module.'/common.inc.php';require DT_ROOT.'/include/post.func.php';$avatar = useravatar($_userid, 'large', 0, 2);switch($action) { ( T- k/ m% u2 V

    case 'upload': 7 y, ? |. j- R+ \" L& [

        if(!$_FILES['file']['size']) { & @& j( M3 k& H& c

            if($DT_PC) dheader('?action=html&reload='.$DT_TIME); ( u- }# [ @7 Z6 K1 F

j3 c8 M$ x( d% [: I

            exit('{"error":1,"message":"Error FILE"}'); 0 ]1 ]/ p+ C% [) w, U7 `. j

3 M5 `! H- s, h* h% q7 h         } 0 v5 X* j8 k2 t: w* S

        require DT_ROOT.'/include/upload.class.php';

" r- o- o( |# N/ ^+ Q- |

( h+ R6 [4 ?8 ~- S8 B8 C/ m   9 `1 i4 ]/ F" e9 ?/ k, f

+ j. x0 K8 h8 |- J( \         $ext = file_ext($_FILES['file']['name']);

        $name = 'avatar'.$_userid.'.'.$ext;

; s0 j8 @5 p/ ]# p& H8 A) A

% E6 M! {: v) L6 R9 y; r         $file = DT_ROOT.'/file/temp/'.$name; ; m e* m' [4 v3 C4 w

( M/ L, B, d8 j( }4 E  

. |% ^# l( ?1 m6 B+ l" I' J         if(is_file($file)) file_del($file);

! R8 z$ T0 ~5 v8 C, h

        $upload = new upload($_FILES, 'file/temp/', $name, 'jpg|jpeg|gif|png'); 2 M4 h4 A- K3 h# o/ @( l

* J; c! b$ K: [

1 F m8 I( G7 d! _$ t  

" S% \# t! t5 `# f% [' N

        $upload->adduserid = false; # k( f1 N! Q7 H8 A

7 p( i3 k( O$ `+ b   4 ?) |: t# A' c5 F4 K$ _: \

. ^8 \) b/ ?3 Z6 B         if($upload->save()) {

# U# l* B9 C6 c! s+ h! w7 h: z$ V; Z             ... - O& M! z0 A$ r& W" _

+ Y$ Q6 n$ m% A8 @) I* l: m

        } else {

Q6 P8 F# j3 G' p$ I8 t+ }

& A) _+ P* y1 ^) ^ U0 x$ q             ...

u7 T) ^# _" i         }

    break; 6 @( B; a; v. _5 C: ?' Y

* [# S% O( ]2 G# E 这里通过$_FILES['file']依次获取了上传文件扩展名$ext、保存临时文件名$name、保存临时文件完整路径$file变量。之后通过new upload();创立一个upload对象，等到$upload->save()时再将文件真正写入。 2 P, X5 i- A5 k

) _" o8 X& `% g$ C1 i

upload对象构造函数如下，include/upload.class.php:25： ) p6 l7 Q7 X+ |/ ~& ^& a

: s5 ?3 g+ l: I

<?phpclass upload { 4 e* m% ]* g" |! d! w5 v, E6 H

2 e7 q7 D$ E6 ~# Y

+ P+ [- l5 m+ H+ G     function __construct($_file, $savepath, $savename = '', $fileformat = '') {

2 X; C9 j# ?# B

' X! r1 q* s0 q3 g2 c' h- i         global $DT, $_userid;

        foreach($_file as $file) {

, p1 ^8 ?- t. A

) k% h, @0 v; b; n9 `             $this->file = $file['tmp_name']; k5 o2 B3 l0 S% C! S3 O/ `6 g4 `

            $this->file_name = $file['name'];

1 t. e1 U$ O6 H' F% G# O4 J             $this->file_size = $file['size'];

0 s; Q) n+ \6 K, ~1 Q

. g8 q: L1 T& ]: O             $this->file_type = $file['type'];

            $this->file_error = $file['error'];

( Y. o# H! T2 e+ j

 

        } 5 }3 ^: m, [3 u7 k7 ^

2 C# L6 _( j+ b+ c/ [) d2 c

1 K) t( ~3 ^9 [3 ~         $this->userid = $_userid; : T% L7 P, t) e3 k! V' D3 d5 L& F

3 a6 s1 T# K, F+ _% [

3 T. H& H* Y$ G         $this->ext = file_ext($this->file_name); 1 y% b! [7 S* y1 o: L

% R- a6 h4 S& m+ V

        $this->fileformat = $fileformat ? $fileformat : $DT['uploadtype'];

6 C0 x' ]1 {% q9 S0 R' D9 p5 Z7 }

* E+ }4 _* e( K8 K         $this->maxsize = $DT['uploadsize'] ? $DT['uploadsize']*1024 : 2048*1024;

- K2 s4 {8 L' n7 `2 G) ~

R3 ]& e( t+ E' [) H/ Q) N& n. z         $this->savepath = $savepath;

7 z6 p* F0 h; F         $this->savename = $savename; ' `* U7 j7 t7 T- E6 G) L

7 ?9 L: i( L; B+ ], B     }} $ D2 m, ` ^$ o1 |

5 @( O. {" }2 W3 t. z- I9 p+ { 这里通过foreach($_file as $file)来遍历初始化各项参数。而savepath、savename则是通过__construct($_file, $savepath, $savename = '', $fileformat = '')直接传入参数指定。 / d9 h' d! J, b* ~. ?! m) u& F

因此考虑上传了两个文件，第一个文件名是1.php，第二个文件是1.jpg，只要构造合理的表单上传（参考：https://www.cnblogs.com/DeanChopper/p/4673577.html），则在avatar.inc.php中

$ext = file_ext($_FILES['file']['name']); // `$ext`即为`php` $name = 'avatar'.$_userid.'.'.$ext; // $name 为 'avatar'.$_userid.'.'php'$file = DT_ROOT.'/file/temp/'.$name; // $file 即为 xx/xx/xx/xx.php ; F d& u3 p6 T z- U9 I

而在upload类中，由于多个文件上传，$this->file、$this->file_name、$this->file_type将foreach在第二次循环中被置为jpg文件。测试如下：

# U) N6 L9 R1 j

4 g( T: i6 }( J, h6 g  

/ Q3 c; R( g* S

回到avatar.inc.php，当进行文件保存时调用$upload->save()，include/upload.class.php:50: J- c4 Z. T6 z$ ~

2 ` x' M D: a6 \8 l' a

5 U* u6 X: Z7 d7 M; ]! G: @ <?phpclass upload {

* ]4 a. F0 U G8 K. z; E4 e/ _

    function save() { / j" s$ u3 f2 E3 S! R) C+ ^

% o: p) n0 Z2 s6 T8 _& g: t         include load('include.lang'); / }- O) W `1 `4 R4 K/ x) x7 \

4 a- }4 D* q) k' Q         if($this->file_error) return $this->_('Error(21)'.$L['upload_failed'].' ('.$L['upload_error_'.$this->file_error].')');

% D2 p& x4 p* z1 l f6 r  

        if($this->maxsize > 0 && $this->file_size > $this->maxsize) return $this->_('Error(22)'.$L['upload_size_limit'].' ('.intval($this->maxsize/1024).'Kb)'); : k0 R* W* t1 G2 m; _

* q* S0 y5 v7 g7 T   ( Q9 A3 U$ X+ t7 A2 s

. @. K+ _5 Y/ ?( @- y         if(!$this->is_allow()) return $this->_('Error(23)'.$L['upload_not_allow']); $ F3 Q) t6 U+ A" |

/ d5 W/ Q: t9 U5 S, D5 U( ^  

: \8 n) Z0 c; U         $this->set_savepath($this->savepath); 2 g3 h1 o) z: x' L7 F& k

5 _8 ]$ p' O) J. }8 L- y         $this->set_savename($this->savename); $ u+ r" f" l' s& G+ i4 r* A# Q

; x; i# D M0 I& ~8 @% S2 \

( y9 m6 ~9 g( s6 r' q7 M/ M* M   0 E$ M3 i8 Y0 Y2 H0 v' P

        if(!is_writable(DT_ROOT.'/'.$this->savepath)) return $this->_('Error(24)'.$L['upload_unwritable']); . B/ ]( A) ]: R! x% Z+ K% J6 d

1 g$ ]7 }' c% Q }' j         if(!is_uploaded_file($this->file)) return $this->_('Error(25)'.$L['upload_failed']); 1 @; o1 |+ `! y A; O+ Y$ U. X/ h

        if(!move_uploaded_file($this->file, DT_ROOT.'/'.$this->saveto)) return $this->_('Error(26)'.$L['upload_failed']);

: j& h# s) r3 [. x! v+ M  

5 |% x2 E4 |$ [2 e, u

. E; Q3 r. Y( R+ P' [/ V. T# P) R- w6 U0 k         $this->image = $this->is_image(); 5 Z$ I/ N+ A4 j/ x! g' v

/ ]9 P8 w \6 @% Y4 F! K1 [

+ l5 D6 A1 x7 Z# c0 e. ]         if(DT_CHMOD) @chmod(DT_ROOT.'/'.$this->saveto, DT_CHMOD);

7 g# n) S* R4 [) m8 o         return true; 8 H3 e* F9 a* s2 h- e: P: C8 D

# N2 X8 T% i. E4 A2 a" ?7 l

    }}

6 |- k! a, J; C$ R1 H 先经过几个基本参数的检查，然后调用$this->is_allow()来进行安全检查 include/upload.class.php:72：

- O! z' s4 y0 h; }: O8 X; k: u g: J <?php k; o# p' }6 ?

& N1 b) t( y. Y0 i* w4 V

    function is_allow() {

; | s1 q$ N2 l. R2 v# M _         if(!$this->fileformat) return false; ( j$ w6 X5 d5 v5 P1 M

6 c% e; n+ L" M, P

, r" k( i6 S% s6 n; E# f% h         if(!preg_match("/^(".$this->fileformat.")$/i", $this->ext)) return false; & N& R. u- q) l+ ]

- R* c+ L/ s- r: o

" ?" l; a7 ^: ]% ]; Z( L' `4 x3 b         if(preg_match("/^(php|phtml|php3|php4|jsp|exe|dll|cer|shtml|shtm|asp|asa|aspx|asax|ashx|cgi|fcgi|pl)$/i", $this->ext)) return false;

0 v, j) F% u% a0 e; X

; x9 h$ H5 M2 H         return true;

2 B2 C# s" L9 k8 ~. i! ~: _     }

$ x- A+ g# s& k; j8 n

! F5 [2 N% }0 K/ Q) Z s 可以看到这里仅仅对$this->ext进行了检查，如前此时$this->ext为jpg，检查通过。

接着会进行真正的保存。通过$this->set_savepath($this->savepath); $this->set_savename($this->savename);设置了$this->saveto，然后通过move_uploaded_file($this->file, DT_ROOT.'/'.$this->saveto)将file保存到$this->saveto ，注意此时的savepath、savename、saveto均以php为后缀，而$this->file实际指的是第二个jpg文件。

) N: b3 D& w: A, a# B

D1 i" Q& ]0 u6 m* E9 G 漏洞利用

, ?; G$ }# W( A8 D: ?0 |2 ^+ B 综上，上传两个文件，其中第一个文件以php为结尾如1.php，用于设置后缀名为php；第二个文件为1.jpg，jpg用于绕过检测，其内容为php一句话木马(图片马)。 ! J* V/ U" V* s6 R6 O+ l

  3 ]2 Y; m- g4 ~6 P X5 P

( Q& C' l6 A5 a& H2 ?

6 L+ k0 r! E2 c: P1 { 然后访问http://127.0.0.1/file/temp/avatar1.php 即可。其中1是自己的_userid

不过实际利用上会有一定的限制。 6 X+ s. B7 |7 ^2 N

: N, y; Q/ C: ]! e( k

- w! k `5 [6 B& _ 第一点是destoon使用了伪静态规则，限制了file目录下php文件的执行。

2 k. Z/ q8 N$ ^: C) L6 G) s   4 k$ U3 @% Q Q- w3 T7 O c

9 w0 _& f6 l# O. G& Q3 Y* t

% I6 V" H3 [, T" ]% |* K 第二点是avatar.inc.php中在$upload->save()后，会再次对文件进行检查，然后重命名为xx.jpg： ; u% b, e, ?7 p9 T

2 S9 f( [! L+ N" H, M# i: { 省略...$img = array();$img[1] = $dir.'.jpg';$img[2] = $dir.'x48.jpg';$img[3] = $dir.'x20.jpg';$md5 = md5($_username);$dir = DT_ROOT.'/file/avatar/'.substr($md5, 0, 2).'/'.substr($md5, 2, 2).'/_'.$_username;$img[4] = $dir.'.jpg';$img[5] = $dir.'x48.jpg';$img[6] = $dir.'x20.jpg';file_copy($file, $img[1]);file_copy($file, $img[4]);省略...

因此要利用成功就需要条件竞争了。

, n f+ ?$ ~5 @3 h+ N

补丁分析

3 h# H9 w( M Y7 O2 D7 ]; j

  6 U4 Z8 T' G/ h$ e! n$ f

) U) b, u% l5 B% C, g6 o 在upload的一开始，就进行一次后缀名的检查。其中is_image如下：

function is_image($file) {    return preg_match("/^(jpg|jpeg|gif|png|bmp)$/i", file_ext($file));}

6 @1 y5 R4 M7 Q

( o$ `# e: Q: c- ]# L+ O   ! j, y; j( J0 Z0 W. N y( p6 [$ j

8 }8 a. W) ~9 n6 [$ C5 `

# d" }' ?3 K: k% M" H" |/ ^9 @4 J 在__construct()的foreach中使用了break，获取了第一个文件后就跳出循环。

3 c0 i2 m, {, Y

* @0 R, n. H7 g# N d9 o9 t 在is_allow()中增加对$this->savename的二次检查。 # f/ p9 {8 t9 ]. n3 q

8 \6 J7 B2 N+ N& W- ]& ^ 最后 , b, V; q% o% q

嘛，祝各位大师傅中秋快乐！ 0 v i0 ]+ x0 W) q

$ K8 C. A* P7 H$ ^% }2 Q+ _