Destoon cms前台getwebshell

admin

前言 5 g( x- P5 |$ D. H( R

2018年9月21日，Destoon官方发布安全更新，修复了由用户“索马里的海贼”反馈的一个漏洞。

5 E5 V7 g% v% c% Q9 L2 q) c4 u

# X6 P% v: I0 v' V3 {3 J  

漏洞分析 7 Z; t5 O4 |! _" N( j, o7 Z& R) J

# ^$ H4 y( _/ f1 s4 R; J" M k2 h

根据更新消息可知漏洞发生在头像上传处。Destoon中处理头像上传的是 module/member/avatar.inc.php 文件。在会员中心处上传头像时抓包，部分内容如下： - K& R9 K: D; U3 I; v% A: ?4 y! Q% k

6 _5 |0 Z; M; U: f5 y

# ~ s2 B2 o! U; B! t  

8 o# O7 B0 y' v7 ?7 `; l5 ~

对应着avatar.inc.php代码如下： ; U3 I+ H9 B4 K s/ _9 J0 ?

<?php defined('IN_DESTOON') or exit('Access Denied');login();require DT_ROOT.'/module/'.$module.'/common.inc.php';require DT_ROOT.'/include/post.func.php';$avatar = useravatar($_userid, 'large', 0, 2);switch($action) {

& K6 o: I x$ j4 V; p

( k0 \- U7 {5 Q0 h( \; v     case 'upload': 5 O( w* |: [+ W& B* w

! x0 b, c) [! z7 G& p

( H) r5 Q& Z, W# j; Y% I         if(!$_FILES['file']['size']) { " e( A% J/ y9 m$ L) T

            if($DT_PC) dheader('?action=html&reload='.$DT_TIME); 9 \3 o) ?2 w; b7 r

/ B5 m& Z2 y3 f0 U) l( I             exit('{"error":1,"message":"Error FILE"}'); # Y3 S0 Y. ]/ r

" d& |* z$ Y: D6 a

        } o; u1 n* y6 u+ U( g# _

4 N$ w1 T1 j6 a2 \+ n! `. I

: L6 u4 }3 E5 o         require DT_ROOT.'/include/upload.class.php'; 0 f0 A3 p9 E8 h7 ]0 m* Y

  8 k3 F4 H$ e2 H% H& z4 d1 E

) ^. V) [! w _' K) ?2 P

        $ext = file_ext($_FILES['file']['name']);

0 [! ^6 p$ d( ^

- g) t6 c% G' A# J4 D7 o6 k         $name = 'avatar'.$_userid.'.'.$ext; / Z$ f/ z9 X+ l9 ~

. J- G( P; @. Z6 J         $file = DT_ROOT.'/file/temp/'.$name; 4 c1 Z7 `% i: p' U! n E. f. p P

, E1 j- Z9 B2 E) k5 _8 A  

0 B/ U8 ]! u$ h, X* r* |% B, z

" l7 ^/ C0 l3 p( ]" P) ~# k         if(is_file($file)) file_del($file);

8 d, i4 |9 h$ H3 d) Z

        $upload = new upload($_FILES, 'file/temp/', $name, 'jpg|jpeg|gif|png');

  & }0 h. @3 S W1 d3 k

7 Q! f6 @7 N$ n1 x: ~1 R7 Z

! S/ B6 c2 v: P9 D: C3 Y         $upload->adduserid = false; 7 r: u9 R2 }, r e

3 S: }3 L; X1 w0 j  

5 r* w$ V! W! h/ u5 J, L. f         if($upload->save()) { : E/ C3 }: k# Q7 f S

. c: [+ {6 V7 C- `0 U. ?, P; M" X

            ...

6 C, J- |, Q0 T u

; l M( P( v7 a" r5 D5 L         } else {

            ...

+ \9 B% V: u& C0 t& }

+ @2 o1 c& L: Q' k         }

    break; 6 c/ @* M+ R s8 N1 F

; _' V3 u. N5 e8 B; l7 c" ] 这里通过$_FILES['file']依次获取了上传文件扩展名$ext、保存临时文件名$name、保存临时文件完整路径$file变量。之后通过new upload();创立一个upload对象，等到$upload->save()时再将文件真正写入。 + t! T/ J$ d2 K; x4 Y( J

5 @( p8 Z; {" d' v' A: ? upload对象构造函数如下，include/upload.class.php:25： 4 L- M' S9 L" ^( u7 [

" s, w: {7 M% M/ W

<?phpclass upload { " k" _# L+ y- L$ r4 z

, `$ Z" r0 @$ z! v* ?! n     function __construct($_file, $savepath, $savename = '', $fileformat = '') { 6 K) L8 c. F! S

0 |3 P( x7 Z9 _" I" B

        global $DT, $_userid;

        foreach($_file as $file) { 9 T8 c; }8 |( \ V0 @ o* G4 M& E

' J! V( V+ S4 G/ e& R. f+ s6 j             $this->file = $file['tmp_name']; ) t$ F# x1 |4 z) ?

            $this->file_name = $file['name']; 9 W' a" t+ j; u( m

            $this->file_size = $file['size'];

/ E/ Q5 J( O9 K( A- s1 F' M             $this->file_type = $file['type']; 6 Q) a4 m' H* V' r

            $this->file_error = $file['error'];

. i( f% T& p- k5 W+ ?& I4 V6 k' u7 E/ |

  4 w" j0 n- l" C3 b

6 u$ |; f8 R2 f; h; ?" V. [, A

        }

2 S. T# A* ? Q5 r8 D& k' Y2 a

        $this->userid = $_userid;

) U( H q/ p8 D8 S( v) L5 c

        $this->ext = file_ext($this->file_name); / e' w- u6 v T2 g

5 D! u4 u' p: u

        $this->fileformat = $fileformat ? $fileformat : $DT['uploadtype'];

% r( K* c% |1 b3 @& m% @         $this->maxsize = $DT['uploadsize'] ? $DT['uploadsize']*1024 : 2048*1024;

, G; W" ~+ v f t

        $this->savepath = $savepath;

' g) q2 T' m* G: a0 P. B9 p$ W         $this->savename = $savename; 7 Y& H2 [" ^% Z. t* P' f( ?0 }

    }}

/ D. K' @' T5 o* b; H 这里通过foreach($_file as $file)来遍历初始化各项参数。而savepath、savename则是通过__construct($_file, $savepath, $savename = '', $fileformat = '')直接传入参数指定。 5 b. y6 O/ ~+ P& \8 g& N( ]

/ E5 z3 o' H" E# ]

因此考虑上传了两个文件，第一个文件名是1.php，第二个文件是1.jpg，只要构造合理的表单上传（参考：https://www.cnblogs.com/DeanChopper/p/4673577.html），则在avatar.inc.php中 $ |: `* s' |, ^# L! `6 d7 Y

3 S ~( E4 L7 W2 }$ F D! `, k+ b( d

# i4 C' M' h4 t. J% u$ w1 } $ext = file_ext($_FILES['file']['name']); // `$ext`即为`php` $name = 'avatar'.$_userid.'.'.$ext; // $name 为 'avatar'.$_userid.'.'php'$file = DT_ROOT.'/file/temp/'.$name; // $file 即为 xx/xx/xx/xx.php

, L( Q, B8 M* M( k: T+ K 而在upload类中，由于多个文件上传，$this->file、$this->file_name、$this->file_type将foreach在第二次循环中被置为jpg文件。测试如下：

4 ]) `* k6 V- u& I% |7 ~. {& u/ q

B; a4 z4 u }2 m" I8 Y! l  

回到avatar.inc.php，当进行文件保存时调用$upload->save()，include/upload.class.php:50: 6 K) A2 {( J8 E& H

/ P3 X! s, [4 ^6 R6 L; J

<?phpclass upload {

    function save() { $ U. K# O0 i3 q' P

2 I8 S8 [: l8 q         include load('include.lang');

7 ~- j5 `: D+ k9 h. [7 X0 r

# T% G4 ?$ w, R+ Y: z' i3 h; o         if($this->file_error) return $this->_('Error(21)'.$L['upload_failed'].' ('.$L['upload_error_'.$this->file_error].')');

 

        if($this->maxsize > 0 && $this->file_size > $this->maxsize) return $this->_('Error(22)'.$L['upload_size_limit'].' ('.intval($this->maxsize/1024).'Kb)'); 3 J5 G" n: S K5 K5 t

4 X h; A) F7 q1 T/ r

8 A0 n+ T! u! m) q0 J6 f7 C  

        if(!$this->is_allow()) return $this->_('Error(23)'.$L['upload_not_allow']);

 

4 R! {$ I) q4 g' m& x- b& h$ v+ s

        $this->set_savepath($this->savepath);

5 f; a4 l- C& L: w' |6 C3 v5 J         $this->set_savename($this->savename);

/ ^: t6 \$ z2 T- Y& i

& m7 {3 g7 V' U" d   ' K3 y( i" A7 y! C

8 M$ m r& Y1 [) I8 M1 M

' Z3 n8 U/ t4 }) v o7 ~: H% _         if(!is_writable(DT_ROOT.'/'.$this->savepath)) return $this->_('Error(24)'.$L['upload_unwritable']);

8 A" ~: v) @2 l: x9 [7 I) ?, j

1 P1 C, T% _' x& R7 l         if(!is_uploaded_file($this->file)) return $this->_('Error(25)'.$L['upload_failed']); * f' J( \* @% l+ y

        if(!move_uploaded_file($this->file, DT_ROOT.'/'.$this->saveto)) return $this->_('Error(26)'.$L['upload_failed']); $ z' T. \) j/ j8 j$ {! [( \: k

% x6 S+ d4 |3 Y: ~+ l0 m

 

) I! l$ L. M9 p7 I" q6 Z+ c$ z

        $this->image = $this->is_image(); - H: {. J: R0 z* {9 @

5 x1 n! |1 k5 Y2 J5 @+ t2 ^         if(DT_CHMOD) @chmod(DT_ROOT.'/'.$this->saveto, DT_CHMOD); 9 h+ e& J) b5 q( f! M: W) n% [ ]

        return true;

    }}

先经过几个基本参数的检查，然后调用$this->is_allow()来进行安全检查 include/upload.class.php:72：

. Q: m& E, D/ h9 o; P7 w9 `2 _

, H. B/ N1 A8 L+ }. y <?php

    function is_allow() {

0 T' y* v, l* [8 O" F+ D$ z

        if(!$this->fileformat) return false; ( \. \5 B. A7 u! {

+ Z$ y1 C5 I1 p: l$ r- H

        if(!preg_match("/^(".$this->fileformat.")$/i", $this->ext)) return false;

) E% h/ x4 h3 P! e v- _

        if(preg_match("/^(php|phtml|php3|php4|jsp|exe|dll|cer|shtml|shtm|asp|asa|aspx|asax|ashx|cgi|fcgi|pl)$/i", $this->ext)) return false;

        return true; ) z/ ?6 w2 d7 X8 q1 n- W

% _. O- l9 x7 ~* k0 C

    }

, Z9 c9 g1 _9 Y 可以看到这里仅仅对$this->ext进行了检查，如前此时$this->ext为jpg，检查通过。

8 g; X0 R* u, l. I4 T! C# Q/ @

接着会进行真正的保存。通过$this->set_savepath($this->savepath); $this->set_savename($this->savename);设置了$this->saveto，然后通过move_uploaded_file($this->file, DT_ROOT.'/'.$this->saveto)将file保存到$this->saveto ，注意此时的savepath、savename、saveto均以php为后缀，而$this->file实际指的是第二个jpg文件。

0 e# h4 h: `( |& a 漏洞利用

/ [+ ^; ^8 d Q( Z ?* _3 x% f

综上，上传两个文件，其中第一个文件以php为结尾如1.php，用于设置后缀名为php；第二个文件为1.jpg，jpg用于绕过检测，其内容为php一句话木马(图片马)。

5 n% b2 v/ j% y8 {' F   - t. d, Y! j% ]/ A( Q, S" F

然后访问http://127.0.0.1/file/temp/avatar1.php 即可。其中1是自己的_userid

不过实际利用上会有一定的限制。

, D, i) Y6 F! q: A' k7 x

第一点是destoon使用了伪静态规则，限制了file目录下php文件的执行。 / Z$ q6 A0 [$ S6 M3 B$ n" L

5 t6 b$ q' Y( J& l

1 e) x F$ I& w' C$ Z6 Z) F2 |# f4 x   4 Z0 r+ n# ?9 v' L8 T9 |. E

+ x2 J, ?% p1 b$ c* y# Z

* w- q& F2 ^! M/ w, F/ c/ E% D- s, d 第二点是avatar.inc.php中在$upload->save()后，会再次对文件进行检查，然后重命名为xx.jpg： ; ?+ p3 H2 n( u! H, u

省略...$img = array();$img[1] = $dir.'.jpg';$img[2] = $dir.'x48.jpg';$img[3] = $dir.'x20.jpg';$md5 = md5($_username);$dir = DT_ROOT.'/file/avatar/'.substr($md5, 0, 2).'/'.substr($md5, 2, 2).'/_'.$_username;$img[4] = $dir.'.jpg';$img[5] = $dir.'x48.jpg';$img[6] = $dir.'x20.jpg';file_copy($file, $img[1]);file_copy($file, $img[4]);省略...

1 S: ?0 _8 u2 @ 因此要利用成功就需要条件竞争了。 8 W' [: Y4 A# I) M0 R1 c0 Q

* c# P) S, a1 c' u! |' z4 d% Z

补丁分析 & `7 A& z/ F: z2 E1 |

" ~. O, [1 {( p- u: B& c

  # n- M9 W. Y9 b3 O i$ C2 ? e$ H9 E

在upload的一开始，就进行一次后缀名的检查。其中is_image如下： - j. _* x/ v3 i

function is_image($file) {    return preg_match("/^(jpg|jpeg|gif|png|bmp)$/i", file_ext($file));}

 

# u1 ]# c: u. ^% V! q4 x 在__construct()的foreach中使用了break，获取了第一个文件后就跳出循环。 $ o6 }* U& k5 ~4 w. t7 G/ v5 K4 A: l/ q

9 z4 W( B% ^+ f0 O! H2 { 在is_allow()中增加对$this->savename的二次检查。

/ n4 N; b) Y& R1 f( |9 o

最后

% R. X9 K2 o& I% R/ b 嘛，祝各位大师傅中秋快乐！ % q- |6 n$ p" H8 V% G