Destoon cms前台getwebshell

admin

4 H, f. h/ O9 ?- d: ^

+ Q Q0 B3 Y. I/ P

% G9 j3 _* g0 D4 _: q

3 ]- h; o- y5 I* [* X$ ? 前言 + D6 i7 p- `3 }$ e) U

1 u- A! k0 U8 S; e2 O 2018年9月21日，Destoon官方发布安全更新，修复了由用户“索马里的海贼”反馈的一个漏洞。 * e0 t, q( H- i w3 H& V+ H

 

$ R' e7 \' i2 j( `3 n. }6 w0 ]) A/ u 漏洞分析 8 j1 I8 b6 x8 y* o

5 E% s! r6 R' N) e/ Q& J) k" L

根据更新消息可知漏洞发生在头像上传处。Destoon中处理头像上传的是 module/member/avatar.inc.php 文件。在会员中心处上传头像时抓包，部分内容如下： $ L: S: W3 U) }" h# L

$ C9 p9 M x" g- K

  / Q+ X7 X2 Y# Q

! ~2 T5 W. c, {, ]% c' R( P

1 t2 y: Y2 J, q( {/ t3 w 对应着avatar.inc.php代码如下： ( `, g4 H& g! q$ X+ |

<?php defined('IN_DESTOON') or exit('Access Denied');login();require DT_ROOT.'/module/'.$module.'/common.inc.php';require DT_ROOT.'/include/post.func.php';$avatar = useravatar($_userid, 'large', 0, 2);switch($action) {

1 {. v9 `) k/ e5 w2 i

3 P% R, Y" D6 U8 }' R     case 'upload':

        if(!$_FILES['file']['size']) {

0 x, B9 @: X0 T) X9 e

3 W4 D* D# r J! n; B             if($DT_PC) dheader('?action=html&reload='.$DT_TIME); 3 j+ L K- F- J! O$ B

* j* [/ U; l/ G: ^             exit('{"error":1,"message":"Error FILE"}');

        } # D( H7 D4 K2 ^$ M9 z) }

        require DT_ROOT.'/include/upload.class.php';

% Q8 {& D* c# s' a

7 x, |( f2 Z+ O/ I  

% n" s& ?& q( v         $ext = file_ext($_FILES['file']['name']);

        $name = 'avatar'.$_userid.'.'.$ext;

8 v, b, h6 G5 S6 F# \" V' a+ ]9 Q

        $file = DT_ROOT.'/file/temp/'.$name; 9 v2 |/ K6 e- e

2 V8 D- @' d8 ?( L# _+ L   3 P6 l/ l" Q1 I# g0 L5 K W1 C- e2 ]5 ~/ H

        if(is_file($file)) file_del($file); ( B, v- [: S% K) \2 A1 x

        $upload = new upload($_FILES, 'file/temp/', $name, 'jpg|jpeg|gif|png');

; ^3 V: g2 t U( W* f7 W. b  

        $upload->adduserid = false;

) S* ^$ ^: d8 s2 m

  8 {+ F) a* y- e% m( n

; P. x) z" i9 @& Y, X6 g3 x3 C

        if($upload->save()) {

" q: e& x: p, P5 z3 L

1 o6 Q6 O+ \7 z" r             ... . e3 x3 W8 d5 G1 G+ W$ M+ D

        } else { ! }, z' o; m _0 r

: B) J; N3 K5 ~* r

            ... / x, X$ m& i8 S5 ]: j, o

        } % c- }' r6 N; ?

' l, l/ ^* C1 V" H0 l

    break;

1 j) r) W \' {/ q! W& p2 G

" z9 x- I( J. T8 E" Q6 h9 z 这里通过$_FILES['file']依次获取了上传文件扩展名$ext、保存临时文件名$name、保存临时文件完整路径$file变量。之后通过new upload();创立一个upload对象，等到$upload->save()时再将文件真正写入。

upload对象构造函数如下，include/upload.class.php:25： . s+ U4 ^, O( v8 |

0 n- \" h8 p: L4 Q% r

<?phpclass upload {

0 N% e3 I9 s! b     function __construct($_file, $savepath, $savename = '', $fileformat = '') { ; }+ n- {& e! f) B

* _, R7 W/ Z' C/ _3 l5 |

        global $DT, $_userid; r7 n8 f8 S/ ]1 V: s

        foreach($_file as $file) { * Y$ w. H! W0 `1 w0 t) ?, W9 }) h8 y+ m

4 U v2 j* \+ ?, u             $this->file = $file['tmp_name'];

0 |7 Z1 y$ g4 E) M

* K3 A* A8 `" O* N- Z6 k             $this->file_name = $file['name']; 8 E- {6 ~/ R9 ]- o% c0 s9 Z

            $this->file_size = $file['size']; : m) J0 ~$ N- o5 r; s" A6 u: i0 V

            $this->file_type = $file['type'];

            $this->file_error = $file['error'];

5 g* B: A; m( e7 J

  , Y" c8 N0 G% ?& j; s% s. R# {

        }

        $this->userid = $_userid; / b3 m0 }7 v" a, ~+ L- L

        $this->ext = file_ext($this->file_name);

7 n7 P4 d- E9 M4 Q8 Q' H- L

# `! ~% J* n% R" Z+ t         $this->fileformat = $fileformat ? $fileformat : $DT['uploadtype']; $ y7 ^$ g3 f8 @* f8 t

( m3 m% z M9 @/ k0 o/ ]$ x         $this->maxsize = $DT['uploadsize'] ? $DT['uploadsize']*1024 : 2048*1024; ' U, }. ~( F# j: o

# M) G! N& m* `3 A) ]% U9 U

9 Q$ y+ R- J# R1 c5 F% O         $this->savepath = $savepath;

        $this->savename = $savename;

    }} . j# X) q* I; s O5 Y/ ?) g/ L( D6 Y

, a8 d; C p5 F9 {# Q* H- g 这里通过foreach($_file as $file)来遍历初始化各项参数。而savepath、savename则是通过__construct($_file, $savepath, $savename = '', $fileformat = '')直接传入参数指定。 . [" W2 z) x9 w4 _9 R( I

7 H6 c0 M* _+ g5 {' Z0 K) s* }

/ S/ o! b j% D4 |+ g i; \6 x* s 因此考虑上传了两个文件，第一个文件名是1.php，第二个文件是1.jpg，只要构造合理的表单上传（参考：https://www.cnblogs.com/DeanChopper/p/4673577.html），则在avatar.inc.php中 i. @* P q; i; q5 q" ~7 {4 ~

+ [- I- |6 Q0 n8 _, \/ Q; \3 _ T

' z( [- b& r* a7 N' H $ext = file_ext($_FILES['file']['name']); // `$ext`即为`php` $name = 'avatar'.$_userid.'.'.$ext; // $name 为 'avatar'.$_userid.'.'php'$file = DT_ROOT.'/file/temp/'.$name; // $file 即为 xx/xx/xx/xx.php - b3 [) |3 R; L& Q5 e/ M

4 R4 X# v2 X! N6 |

而在upload类中，由于多个文件上传，$this->file、$this->file_name、$this->file_type将foreach在第二次循环中被置为jpg文件。测试如下： + j0 D$ M' a0 Z/ Q/ t

& c0 [% w2 ~5 f, ]* a4 H9 C" V

 

3 O% X6 {0 ~& U1 D# _1 P 回到avatar.inc.php，当进行文件保存时调用$upload->save()，include/upload.class.php:50: 1 ]7 f- a/ x3 K" i0 T9 H; Z

* M+ p* z4 _( R9 i! z: e

4 I! T2 `' v) L7 K: D* r <?phpclass upload {

( F: x$ _1 c3 i$ S

8 A2 M) S# P5 F8 C Z     function save() { % S: n! Y" \* ~0 b( \/ c+ R

& L& e, |# h) k         include load('include.lang');

7 _, B3 a/ g& X: U. t5 b/ M         if($this->file_error) return $this->_('Error(21)'.$L['upload_failed'].' ('.$L['upload_error_'.$this->file_error].')'); : e$ S; ~( e8 H1 k c! g2 R+ ]$ N

, S0 W' V8 Q' {; C

! l3 m5 y4 s) p  

4 {# k% S {' t- [$ ?+ q

        if($this->maxsize > 0 && $this->file_size > $this->maxsize) return $this->_('Error(22)'.$L['upload_size_limit'].' ('.intval($this->maxsize/1024).'Kb)'); % t2 J: R/ q8 v) R8 u, ?4 W( ~* H

, _0 V$ z% P7 X8 Z7 L2 h' [& x/ \1 X

  / u$ E# g/ ]# o' o4 e8 \

        if(!$this->is_allow()) return $this->_('Error(23)'.$L['upload_not_allow']);

* n1 V0 ^) l+ |; H& q) C$ s

[3 v6 Q( d+ S |! T   # M/ H! ^' p' [

3 a. P: w6 Q4 t$ s

        $this->set_savepath($this->savepath); , g3 l5 V" @/ Z" y5 \& y

3 Z% r7 N4 m) ^2 \         $this->set_savename($this->savename);

4 m6 s4 G( O; d; u4 _, Y  

        if(!is_writable(DT_ROOT.'/'.$this->savepath)) return $this->_('Error(24)'.$L['upload_unwritable']);

( @& G* _6 r% I, Y: I( m$ `

- c' J4 N. J2 a; O# i. L7 f         if(!is_uploaded_file($this->file)) return $this->_('Error(25)'.$L['upload_failed']);

) D( M4 {$ d5 g         if(!move_uploaded_file($this->file, DT_ROOT.'/'.$this->saveto)) return $this->_('Error(26)'.$L['upload_failed']);

; c7 P! j6 V+ i7 H6 t; z. _ ^8 A

( L& ` X9 W5 Z' ]   $ A8 i: X1 _5 h: `# u' F9 K P

        $this->image = $this->is_image();

4 A, z! d: f/ u2 g- _5 r         if(DT_CHMOD) @chmod(DT_ROOT.'/'.$this->saveto, DT_CHMOD);

4 S8 @, e! o8 ?7 Z' g, D) F         return true;

    }} # Q' S( y( x# q& h# ^9 r: Q; b

, y) \ t6 D% C1 T6 ^$ z' M 先经过几个基本参数的检查，然后调用$this->is_allow()来进行安全检查 include/upload.class.php:72：

" _& R9 P* S1 H

<?php

$ w- a& g5 G* w- \

4 t X4 w' v, z$ H" \# c     function is_allow() { ' {( _7 M9 m$ ?0 J. C

        if(!$this->fileformat) return false; ! p& D# F2 ]1 ?# d; a4 |. J

; Z1 P5 j6 u: V: k/ O) K8 D& {

3 J5 ~8 E; h0 q" y* @2 e ]9 t" A         if(!preg_match("/^(".$this->fileformat.")$/i", $this->ext)) return false; 2 J2 J7 N0 ]% J' S3 m ^

3 c$ l7 f2 T. z# s# t: |" m         if(preg_match("/^(php|phtml|php3|php4|jsp|exe|dll|cer|shtml|shtm|asp|asa|aspx|asax|ashx|cgi|fcgi|pl)$/i", $this->ext)) return false;

2 l7 q- |6 ]- c U# s0 w

z1 D Z; R8 W1 o' y% I         return true;

9 Y5 d8 J2 g+ `6 m* O

    }

9 L+ d3 X4 X' i/ d) d/ {2 S; J: \

可以看到这里仅仅对$this->ext进行了检查，如前此时$this->ext为jpg，检查通过。 5 W2 V1 Y" g$ v* c

接着会进行真正的保存。通过$this->set_savepath($this->savepath); $this->set_savename($this->savename);设置了$this->saveto，然后通过move_uploaded_file($this->file, DT_ROOT.'/'.$this->saveto)将file保存到$this->saveto ，注意此时的savepath、savename、saveto均以php为后缀，而$this->file实际指的是第二个jpg文件。

3 o* j5 w0 r- M

漏洞利用

: h( E6 O6 L" `# H1 I5 a M5 L

综上，上传两个文件，其中第一个文件以php为结尾如1.php，用于设置后缀名为php；第二个文件为1.jpg，jpg用于绕过检测，其内容为php一句话木马(图片马)。

3 G; J8 P% V5 \+ l

 

6 [# W$ [8 y" R o, D9 p

! A) A3 T `5 @) h$ G 然后访问http://127.0.0.1/file/temp/avatar1.php 即可。其中1是自己的_userid

" e! G# [% v) F. c# B 不过实际利用上会有一定的限制。

第一点是destoon使用了伪静态规则，限制了file目录下php文件的执行。

" T! F7 A: \6 z( Q* s   ( f+ }. `/ {% Y* {, r$ |. s

第二点是avatar.inc.php中在$upload->save()后，会再次对文件进行检查，然后重命名为xx.jpg： ( p" [1 Y" z3 k2 a% f% b Y

3 u# R2 ]4 @, S/ C+ X

6 F4 s4 U' r y( \ 省略...$img = array();$img[1] = $dir.'.jpg';$img[2] = $dir.'x48.jpg';$img[3] = $dir.'x20.jpg';$md5 = md5($_username);$dir = DT_ROOT.'/file/avatar/'.substr($md5, 0, 2).'/'.substr($md5, 2, 2).'/_'.$_username;$img[4] = $dir.'.jpg';$img[5] = $dir.'x48.jpg';$img[6] = $dir.'x20.jpg';file_copy($file, $img[1]);file_copy($file, $img[4]);省略...

0 b( O- k; E% ?0 s

因此要利用成功就需要条件竞争了。 9 K) i: X, S O8 l# Q# l

补丁分析 , t) Q* ~3 T( O: R2 ^+ K0 W

" U! n1 u- R1 v, C. G) T

  * l9 m1 j5 C/ A$ \- J. m/ r

( ]6 [8 H) M, O' w O 在upload的一开始，就进行一次后缀名的检查。其中is_image如下： ) E9 A# O* m( H9 c0 O

( w$ N; z G1 g t2 K3 b2 X& A function is_image($file) {    return preg_match("/^(jpg|jpeg|gif|png|bmp)$/i", file_ext($file));}

, {/ g3 n% y: R& A  

8 X$ o6 f" J& ^4 g2 t' }

在__construct()的foreach中使用了break，获取了第一个文件后就跳出循环。 ) ]: P' ?7 J- N6 L2 b' Y3 _( W- \) f2 |

8 }2 ^: f0 t, X4 P4 K. G

在is_allow()中增加对$this->savename的二次检查。

L9 H* D5 E6 V1 l' ?2 r

最后

! f9 _/ X3 H* I# a 嘛，祝各位大师傅中秋快乐！ % S @0 A/ F( r- f9 k

  ) l J1 O9 G, J/ i% g9 k2 |# S

( x7 j3 b* m }, t3 v* Q. I$ S