Destoon cms前台getwebshell

admin

$ Z- P( T m( F& J/ y# |. j

2 l( C7 W8 x3 d/ y0 c' I 前言

7 ^& G7 M! l; G 2018年9月21日，Destoon官方发布安全更新，修复了由用户“索马里的海贼”反馈的一个漏洞。 0 P% d' g+ i) z p$ H+ E

# m9 }1 q; T0 Q1 h1 A9 N2 h$ a" e

 

& e2 X+ l8 Y0 V3 g- G

漏洞分析

根据更新消息可知漏洞发生在头像上传处。Destoon中处理头像上传的是 module/member/avatar.inc.php 文件。在会员中心处上传头像时抓包，部分内容如下：

  : T8 |! G" `$ I: }) q- p1 {) Q

3 ^2 l' u* \2 [3 t 对应着avatar.inc.php代码如下：

; U4 s. V7 A/ H* L# N

7 M& W }; v* Z/ v <?php defined('IN_DESTOON') or exit('Access Denied');login();require DT_ROOT.'/module/'.$module.'/common.inc.php';require DT_ROOT.'/include/post.func.php';$avatar = useravatar($_userid, 'large', 0, 2);switch($action) { 5 r$ d' ?' W0 ]" w

' q: }. a6 R7 ]) O

+ T7 i6 J& W- r+ @" B. U     case 'upload': $ Z6 c$ r1 @* G5 c5 I2 j

/ {: i+ n4 e, D- n* M

        if(!$_FILES['file']['size']) { " z2 Y. c) `5 _; ]' ]% s

8 l4 v* D6 D- L/ j! N             if($DT_PC) dheader('?action=html&reload='.$DT_TIME);

# x. i% N" E. z/ ]. d             exit('{"error":1,"message":"Error FILE"}'); ' {# Q- |2 j4 K- k+ E! r+ H

% c) {# i6 D! ?) e( V

0 e) E& O y/ s0 b" f$ @* t) J         } % g+ B7 D. ], B2 g+ A

        require DT_ROOT.'/include/upload.class.php'; 6 m8 q- g4 k9 R0 h3 g: L

7 L: d. K- {! m6 d2 e0 |* l

- q) d; a7 f( R/ ~ {0 _% a  

        $ext = file_ext($_FILES['file']['name']);

. D6 N' ~' A, K

        $name = 'avatar'.$_userid.'.'.$ext;

# e# Z/ X+ E& z) `; `- n1 e4 O

        $file = DT_ROOT.'/file/temp/'.$name; 8 g; v- Q9 V5 E' `5 j% _6 F1 l% D3 F4 g3 t% i

6 h. ^3 R5 r5 l9 x   ; e7 T; k- v( P8 N1 w! s$ E; X' P% \! M- \

) ^$ c4 _- o2 s7 V; Y# H$ S* F8 G

+ B! X6 b' D5 x, S, \' |         if(is_file($file)) file_del($file); ' b8 B4 A; R0 S

        $upload = new upload($_FILES, 'file/temp/', $name, 'jpg|jpeg|gif|png'); 7 F- M7 J3 J! L& P' b3 c6 l2 ^0 n1 a- \

. s$ y) M( @3 n ?0 O' j

  ( ?1 l4 W* K2 M5 k7 g; n

" o; ~% r% S, A- Z% r; [

        $upload->adduserid = false; , s4 w5 P7 e6 m- `9 d$ L

0 Q# E, }1 f9 C# L7 Z& N   : K0 ~" Z8 `) v7 `

6 a7 g8 E$ w' y. L' ]3 R2 e

        if($upload->save()) {

            ... ) m& Y& o4 f$ Y6 Y& s- v9 ?* q6 P

        } else {

m% \/ p% G+ H% D" m4 b A             ... & ~6 F6 {# ~) ^- g' t% g- ~

P( U; }$ m4 d/ X% Y$ [: j2 d         } 4 ~. ^# G- y: ]) M% I. l, Z

* N1 z3 ]: T; i/ @5 s

    break; $ f: V) L# r7 l& r$ C

# T! u; T! ~9 s- N

这里通过$_FILES['file']依次获取了上传文件扩展名$ext、保存临时文件名$name、保存临时文件完整路径$file变量。之后通过new upload();创立一个upload对象，等到$upload->save()时再将文件真正写入。 5 r' N: c, L" z; c, D# S

upload对象构造函数如下，include/upload.class.php:25：

) z! w/ a7 B8 J7 J0 X

5 J6 v9 m) _: ~. s Z1 r <?phpclass upload {

6 S. A$ o C! A) n0 W/ p     function __construct($_file, $savepath, $savename = '', $fileformat = '') {

+ B$ M- r2 u% t5 y         global $DT, $_userid; 8 `* _9 m8 B7 {4 u4 W, v

/ f! \% c8 ?, w- W7 [) v e* W8 c         foreach($_file as $file) {

            $this->file = $file['tmp_name'];

            $this->file_name = $file['name']; ; B3 p; l7 k8 j- {. M7 [

! [8 |8 \, s/ b

% x# N" y4 s) j) t             $this->file_size = $file['size']; ; ~# }) B8 x* ~4 _

) n0 R+ v8 ]" t9 P3 I% P

4 O i8 ?& W( | J0 K             $this->file_type = $file['type']; . V: W; G d% M$ t+ g$ g

+ \8 m* Q0 t8 U( U

- G& _' q8 o5 @8 H1 f* F             $this->file_error = $file['error'];

( i7 Q% W- G6 G7 p   ! U- m! U8 Q2 r* i6 r6 ^' B) k

9 s% {+ J- s2 I1 B/ V

7 B9 h3 ^5 |, O: o" s c         } 7 f6 O/ I1 V7 g

( S9 [+ P6 q3 f9 o$ j* @# V

; L# O M$ b7 A) M: x* O         $this->userid = $_userid;

        $this->ext = file_ext($this->file_name); 2 n5 V- N* V5 _: S/ Q! g9 l

2 \0 l, h7 M+ X$ @

        $this->fileformat = $fileformat ? $fileformat : $DT['uploadtype']; . l5 o* d6 O/ Y2 I* \* R3 J

1 E# _; Z, u) q! z8 v* F         $this->maxsize = $DT['uploadsize'] ? $DT['uploadsize']*1024 : 2048*1024;

        $this->savepath = $savepath;

4 A- k& i6 ?. }: J( r# ~

% v! H+ {& l4 w5 a! Z         $this->savename = $savename;

]' W6 z1 E& A2 y1 ] q

    }}

这里通过foreach($_file as $file)来遍历初始化各项参数。而savepath、savename则是通过__construct($_file, $savepath, $savename = '', $fileformat = '')直接传入参数指定。

. J+ i c- G+ M$ E/ { m( h

6 o: P+ S1 e. v5 l- P$ k( s0 h 因此考虑上传了两个文件，第一个文件名是1.php，第二个文件是1.jpg，只要构造合理的表单上传（参考：https://www.cnblogs.com/DeanChopper/p/4673577.html），则在avatar.inc.php中 ; `8 t6 Q- x8 ~6 O% r, Z

( l, ~( R! L* v

& y& Q0 F% P+ u/ s $ext = file_ext($_FILES['file']['name']); // `$ext`即为`php` $name = 'avatar'.$_userid.'.'.$ext; // $name 为 'avatar'.$_userid.'.'php'$file = DT_ROOT.'/file/temp/'.$name; // $file 即为 xx/xx/xx/xx.php

! s( i6 O. C% c

而在upload类中，由于多个文件上传，$this->file、$this->file_name、$this->file_type将foreach在第二次循环中被置为jpg文件。测试如下： E& N5 s2 [% A

0 \* W, x) J2 A5 ]7 m. y   : q4 ]# @9 @7 l0 ^

' N p) j' n4 F2 O( [, Y, K

- E1 @5 A) L, ~' |5 C 回到avatar.inc.php，当进行文件保存时调用$upload->save()，include/upload.class.php:50:

# ?: e, ~% C% Z& m <?phpclass upload {

, R9 j/ s$ Z5 u% M% S. N& I$ [5 x

4 Q3 F( D' i6 Z+ } `$ }! w     function save() {

7 T( q1 K$ p. y         include load('include.lang'); 8 p: }( d! D4 ^+ n6 B

+ c/ d/ ]0 x1 Y% p& V H

        if($this->file_error) return $this->_('Error(21)'.$L['upload_failed'].' ('.$L['upload_error_'.$this->file_error].')'); * q6 k" z3 O4 Z* u* ^2 z

  0 c1 F4 Q4 r9 S; S- u

, ]8 [' K" j, [% T

/ E# T' {4 Y# ~9 M% g         if($this->maxsize > 0 && $this->file_size > $this->maxsize) return $this->_('Error(22)'.$L['upload_size_limit'].' ('.intval($this->maxsize/1024).'Kb)');

 

9 F- K8 ^- i2 F         if(!$this->is_allow()) return $this->_('Error(23)'.$L['upload_not_allow']);

* c) a ~/ ?. o( v" y4 P" N

 

        $this->set_savepath($this->savepath);

        $this->set_savename($this->savename); ( j6 j2 F, Y% ?& R F

 

4 a3 q, \2 Z, I$ P! M         if(!is_writable(DT_ROOT.'/'.$this->savepath)) return $this->_('Error(24)'.$L['upload_unwritable']); + U. Y* v8 V7 A* s( u4 \

+ E. j7 J: L+ `# ?9 j# F         if(!is_uploaded_file($this->file)) return $this->_('Error(25)'.$L['upload_failed']); + o T5 M z/ R) n- V1 ~( P

$ V1 X; T7 L; q: u

- W( `) N( \) P, R6 a         if(!move_uploaded_file($this->file, DT_ROOT.'/'.$this->saveto)) return $this->_('Error(26)'.$L['upload_failed']); 6 A! w* P: v8 @

$ {' Q, ?' W O! G9 ~4 t1 w3 e# x   9 n1 \& x& Z. V

8 q. E7 C2 e, j& I

        $this->image = $this->is_image(); 9 ? B* H2 q; t) S

        if(DT_CHMOD) @chmod(DT_ROOT.'/'.$this->saveto, DT_CHMOD);

1 p, ~, q" t2 a3 V. Z% f         return true; 9 c7 S$ h0 [. M

; q+ K3 q' A4 `4 Y2 g     }} 7 x v2 S% I/ ~" R4 S1 T! Z7 c

& F9 m: }) M# e" r' r. } 先经过几个基本参数的检查，然后调用$this->is_allow()来进行安全检查 include/upload.class.php:72：

; q! [) |; b9 S" y( {9 }

<?php

. z! l* y% L+ i1 l/ e: Z1 |! e

! @7 ?( y' m5 \1 B* J9 I" \6 k4 E+ s' D& {     function is_allow() { $ M" E: a# \9 a9 y/ \& e& ~

        if(!$this->fileformat) return false;

) s1 C% x* ?/ B5 }3 ^" n

1 L& d5 R& }1 n4 r% ?9 g4 [         if(!preg_match("/^(".$this->fileformat.")$/i", $this->ext)) return false; 2 W# v/ I; X# n* U1 C) P& s* d

9 c" c6 E& C2 n% Q1 I         if(preg_match("/^(php|phtml|php3|php4|jsp|exe|dll|cer|shtml|shtm|asp|asa|aspx|asax|ashx|cgi|fcgi|pl)$/i", $this->ext)) return false;

        return true; " [* `0 ^# A3 D8 ?5 m5 K! v/ T

    } * {/ w+ ~2 E0 B; Z4 g

可以看到这里仅仅对$this->ext进行了检查，如前此时$this->ext为jpg，检查通过。

接着会进行真正的保存。通过$this->set_savepath($this->savepath); $this->set_savename($this->savename);设置了$this->saveto，然后通过move_uploaded_file($this->file, DT_ROOT.'/'.$this->saveto)将file保存到$this->saveto ，注意此时的savepath、savename、saveto均以php为后缀，而$this->file实际指的是第二个jpg文件。

. t& s4 d% N2 O* c) C# d

漏洞利用

3 C1 Z8 U4 Y- j9 X( C1 S

综上，上传两个文件，其中第一个文件以php为结尾如1.php，用于设置后缀名为php；第二个文件为1.jpg，jpg用于绕过检测，其内容为php一句话木马(图片马)。 : j8 a# ^. y6 [0 p- L

5 i" p' ^( {/ o, z$ F2 C   ; q8 _- J7 g, \% R

3 s9 Q8 p/ n |- X- l |* u

然后访问http://127.0.0.1/file/temp/avatar1.php 即可。其中1是自己的_userid ) F( k+ I n& I; J+ ]

# p0 |6 @4 }3 z

不过实际利用上会有一定的限制。 ' t- G9 J0 |4 C: \1 a6 ~% ]

0 `. [/ S2 X! M _7 j( n& g/ V! @ 第一点是destoon使用了伪静态规则，限制了file目录下php文件的执行。

5 E5 `& {9 J8 ]  

第二点是avatar.inc.php中在$upload->save()后，会再次对文件进行检查，然后重命名为xx.jpg： 3 i8 N8 Z0 K1 ~. i

, d/ c W9 J; _1 c9 x5 Z 省略...$img = array();$img[1] = $dir.'.jpg';$img[2] = $dir.'x48.jpg';$img[3] = $dir.'x20.jpg';$md5 = md5($_username);$dir = DT_ROOT.'/file/avatar/'.substr($md5, 0, 2).'/'.substr($md5, 2, 2).'/_'.$_username;$img[4] = $dir.'.jpg';$img[5] = $dir.'x48.jpg';$img[6] = $dir.'x20.jpg';file_copy($file, $img[1]);file_copy($file, $img[4]);省略...

因此要利用成功就需要条件竞争了。 * f1 R0 b& K! v( V( ^# {# m _; z

4 g8 {# [5 l' w A2 F2 w* f

补丁分析 . Q3 Q- N; G) q) F; V

' O# f8 I) L; U9 g& O" Q

0 P8 z- } H; f- s1 a   $ c9 M! ^1 e) g" C

; E/ w. x( T. J% t

# t7 {1 m0 q: h5 ~" z3 J l' Q7 N 在upload的一开始，就进行一次后缀名的检查。其中is_image如下：

+ Z. a7 W1 k; d) u" Q& \

4 v1 ~6 C0 S8 F function is_image($file) {    return preg_match("/^(jpg|jpeg|gif|png|bmp)$/i", file_ext($file));}

7 K0 p1 L2 J: v

7 Z: e6 \. K! M/ ~) a" A  

在__construct()的foreach中使用了break，获取了第一个文件后就跳出循环。 1 j5 Y$ J. b& L4 a3 X' U

# p; d/ y3 {6 A% k

在is_allow()中增加对$this->savename的二次检查。

* b5 c( {$ n" I `6 X8 w* S 最后

' s5 E( R5 d) ]$ X 嘛，祝各位大师傅中秋快乐！ / v- k4 w8 R0 C# B9 G, ~/ a& }

8 j9 F* H+ k' L F   1 @$ @ R# g7 T- j0 ]