Destoon cms前台getwebshell

admin

+ A6 N0 I. I9 j

前言

2018年9月21日，Destoon官方发布安全更新，修复了由用户“索马里的海贼”反馈的一个漏洞。 ) k6 f( Q1 |- z* I# a

  $ _$ ~3 _, g! V3 I1 T7 o. B

漏洞分析

) d q0 t* \: m 根据更新消息可知漏洞发生在头像上传处。Destoon中处理头像上传的是 module/member/avatar.inc.php 文件。在会员中心处上传头像时抓包，部分内容如下： . s/ h5 v; u# U% T

- C s) O0 C. n# Y* q  

( z4 F R1 V& P& G9 E

对应着avatar.inc.php代码如下： " `6 i+ ^# x9 H. O* K

0 D2 E5 t' s2 Q$ B6 g% T9 D# o

- q% k, G8 Y1 @" u- |, _ <?php defined('IN_DESTOON') or exit('Access Denied');login();require DT_ROOT.'/module/'.$module.'/common.inc.php';require DT_ROOT.'/include/post.func.php';$avatar = useravatar($_userid, 'large', 0, 2);switch($action) { 3 g- [9 M! G4 `: W, R5 f: r

    case 'upload':

1 X9 M s! @" t3 X( ]

        if(!$_FILES['file']['size']) { & w$ u3 a; v: u8 V, Z

            if($DT_PC) dheader('?action=html&reload='.$DT_TIME); ( I) `2 H u" _# r0 ^

9 v) |# I( z9 A, S6 o

            exit('{"error":1,"message":"Error FILE"}'); & i. [8 C$ e4 i& x

) q3 @3 A$ G' w: l! p1 G, P

, q' M: N: R- }, S0 P" X4 z         }

: O* B, P& H8 ]! \1 D, p* p9 Q' w

        require DT_ROOT.'/include/upload.class.php';

3 W4 `2 j4 z" O: x5 x6 A  

, d! j4 s; X4 [0 e

3 [: G" H; O8 v3 ^8 d% B6 w( [3 |         $ext = file_ext($_FILES['file']['name']); ! U2 }7 L' @( q6 q

        $name = 'avatar'.$_userid.'.'.$ext; ; X6 A( t6 }# o* f: T

$ Q' O8 ~) P2 p1 G

        $file = DT_ROOT.'/file/temp/'.$name;

  : M7 ~+ B/ d) Y5 i3 L

7 T; C7 \; I8 i7 o0 f7 n! n8 a8 U* a

        if(is_file($file)) file_del($file);

9 V6 U4 @3 q9 R" z% w1 Z- _' W

        $upload = new upload($_FILES, 'file/temp/', $name, 'jpg|jpeg|gif|png');

& x* t2 |. E- j. c4 K   8 |6 p, I8 \& u O7 Z% ]

: n. {5 L x( l1 c" d2 x1 ]         $upload->adduserid = false;

+ G+ w& B4 t; K' }! o

  * b" k( [7 |, M" o

; {8 I' q- a4 L/ Q# _2 B2 ?         if($upload->save()) { . A+ F1 v5 ~8 T7 a

6 h) A$ ?) {$ t4 k' t: Q5 n             ...

        } else {

6 } u5 F: @% E0 T3 j8 g

            ... 0 o! n( X- C7 Y" J; I3 R. K0 m* K8 p! t

        } / L9 _7 f M( a# B" S

    break; ' h7 @9 {! S8 Z

& c; ?: J( }8 ]8 l X 这里通过$_FILES['file']依次获取了上传文件扩展名$ext、保存临时文件名$name、保存临时文件完整路径$file变量。之后通过new upload();创立一个upload对象，等到$upload->save()时再将文件真正写入。 ( }$ t' }* `8 P b& d

upload对象构造函数如下，include/upload.class.php:25：

( Y3 [' v1 w, n7 i) @0 M# e+ c3 e <?phpclass upload {

4 Y# v* M2 W$ h# p7 O, J

    function __construct($_file, $savepath, $savename = '', $fileformat = '') { ; i5 f6 G' ~- B- ~1 D+ K+ i

        global $DT, $_userid;

* Y6 B7 k. b% J3 U2 D4 d, [. k1 \

" @1 m$ x0 d# [; }         foreach($_file as $file) { t4 P6 X' F& N+ D

{- s' [. ]# O: F/ V" a

- F) t! B$ o8 x/ b8 e6 k% W7 M: t% H             $this->file = $file['tmp_name'];

% ^: \. V3 d0 Q! g6 k0 ]( I

; C$ i1 M3 a Z" k3 E9 m             $this->file_name = $file['name']; 7 b! v# C" r g1 [

! H- G) c! c" r

            $this->file_size = $file['size'];

            $this->file_type = $file['type']; ; d* V4 O+ r9 n2 ^* w1 L1 O9 |- {

8 p# _" e- P1 N d7 F n6 Q, b# V a3 x

            $this->file_error = $file['error'];

 

& l. }' B8 W. z% g: R

) t- C0 C2 Q' i2 ~( y         } " w$ ~) g6 Y- W2 E% G

0 m8 T. O) ~) R0 C V( A: H7 |+ E         $this->userid = $_userid; 6 Z2 |: ~8 x, W6 n; W

/ ^8 e X3 c9 T9 e# n( G( J8 t, B

% J! m1 I" J1 `$ X" Z         $this->ext = file_ext($this->file_name);

1 l! f: R: U! Q5 I' E3 Z

        $this->fileformat = $fileformat ? $fileformat : $DT['uploadtype']; # y% J' H- y! m* B

5 R& @' z5 D, F" o; s1 k         $this->maxsize = $DT['uploadsize'] ? $DT['uploadsize']*1024 : 2048*1024;

/ i5 Y/ G7 n \# ?& H* s+ W3 t6 x4 o9 x

        $this->savepath = $savepath; 0 C+ t }$ n7 \8 z( j; w

. h$ B' ~& C6 p" l& e# @; ~& [

2 P6 X% D2 g1 C         $this->savename = $savename;

; o6 [, Q3 [7 y4 `0 S' m

& X; c# S. w# g+ @6 b     }} ) Z# \; @6 ]# r1 j

; S- t- l7 s1 a m 这里通过foreach($_file as $file)来遍历初始化各项参数。而savepath、savename则是通过__construct($_file, $savepath, $savename = '', $fileformat = '')直接传入参数指定。

: x! c0 k$ d+ n/ {( Z

因此考虑上传了两个文件，第一个文件名是1.php，第二个文件是1.jpg，只要构造合理的表单上传（参考：https://www.cnblogs.com/DeanChopper/p/4673577.html），则在avatar.inc.php中

Q* j6 Y; y& [" {' t1 U& q) l

$ext = file_ext($_FILES['file']['name']); // `$ext`即为`php` $name = 'avatar'.$_userid.'.'.$ext; // $name 为 'avatar'.$_userid.'.'php'$file = DT_ROOT.'/file/temp/'.$name; // $file 即为 xx/xx/xx/xx.php

. y0 l4 ~. L4 B6 h' H. \0 f

M. b9 c+ R4 G( h5 H 而在upload类中，由于多个文件上传，$this->file、$this->file_name、$this->file_type将foreach在第二次循环中被置为jpg文件。测试如下： 7 l$ |3 F% t# v& o: c5 W" `

' q. ~2 E8 p8 K; t

; g9 G1 m$ B5 k6 B# [   0 Q! v3 j/ Q: U) X1 L

回到avatar.inc.php，当进行文件保存时调用$upload->save()，include/upload.class.php:50:

s& w8 h8 k* Q, O+ J, t5 G

. @ q% \ ?( u# r <?phpclass upload { 7 @, T, C6 F+ e

4 I* j/ c% z: l

    function save() {

2 I3 ?; a- n( ~% \, U* n9 R         include load('include.lang');

$ F) r: q. K2 W j

        if($this->file_error) return $this->_('Error(21)'.$L['upload_failed'].' ('.$L['upload_error_'.$this->file_error].')'); 1 s8 q* G( E* H0 K# {8 w% y

 

7 ~' W# t1 x' H- |% k( l# u         if($this->maxsize > 0 && $this->file_size > $this->maxsize) return $this->_('Error(22)'.$L['upload_size_limit'].' ('.intval($this->maxsize/1024).'Kb)'); ( d. I; Q* Q' Y* z

' i, f: k8 a1 h/ f5 m2 t# J

 

" B1 G$ ]" @2 a- i Q4 J

, {; e* i" b+ V         if(!$this->is_allow()) return $this->_('Error(23)'.$L['upload_not_allow']); ; _6 J% D7 z+ R* Y& [$ K2 M& F

3 m5 h: Y' B! X2 h- \) S

  * c: E' k$ h- y( f2 w/ B- _

9 d0 S2 O' a7 c1 P" @

8 S& k. j: V8 y( k) y         $this->set_savepath($this->savepath);

7 {5 [/ w, `- ?2 [6 T

+ c7 |8 w$ W3 h3 u6 {$ N         $this->set_savename($this->savename); * ^3 L- z( l, J4 S7 z+ e' L

! R7 o P: h s3 m, w/ N7 k1 m

- Q/ A" m7 d* f& U+ e# k2 w2 ^   4 k, |( k+ q/ X4 R& i" \( W

2 T6 b6 ]- V6 q+ [/ A+ Y         if(!is_writable(DT_ROOT.'/'.$this->savepath)) return $this->_('Error(24)'.$L['upload_unwritable']); # ^+ g2 @7 {; `& e

+ A9 X/ S% }5 Y

        if(!is_uploaded_file($this->file)) return $this->_('Error(25)'.$L['upload_failed']); ( ?$ z8 X: ^7 V3 r" N# J

3 t1 M0 D2 E K+ e) q3 T# J- f         if(!move_uploaded_file($this->file, DT_ROOT.'/'.$this->saveto)) return $this->_('Error(26)'.$L['upload_failed']); / S0 x6 e( }5 o: {6 j" }

1 J% D* R" h) a/ d1 z; D

6 C% {8 d4 y- k4 k/ A) |, F5 g2 w   ! ~* b$ w2 h5 d" [2 q1 `+ T

6 ^8 Q/ t& ?( M- ~6 R. j

        $this->image = $this->is_image(); " e% v. Z+ n2 N* r9 t

/ s; p% V) {/ F. Z! i. F# _( v

        if(DT_CHMOD) @chmod(DT_ROOT.'/'.$this->saveto, DT_CHMOD); , g- m* i8 r# j

% r. v6 a' o% l9 K0 H9 M- u g: {

4 p I" i& l2 X' i" O) H" `. _" M         return true; 4 H1 G4 x; r6 f8 P; e

, T( A% h1 E7 }* t/ o     }} 5 v7 p X2 M4 A7 |& t0 J

先经过几个基本参数的检查，然后调用$this->is_allow()来进行安全检查 include/upload.class.php:72：

- f: O: x' }; P4 r% G: D2 ~

<?php $ b8 m5 U# P/ v/ [ g4 J t

    function is_allow() {

, p2 n% p+ g( C2 n" |

        if(!$this->fileformat) return false; 9 n. s+ i7 S. K; a

        if(!preg_match("/^(".$this->fileformat.")$/i", $this->ext)) return false;

2 l# e; I8 a' J7 q3 u; i2 u4 Z

        if(preg_match("/^(php|phtml|php3|php4|jsp|exe|dll|cer|shtml|shtm|asp|asa|aspx|asax|ashx|cgi|fcgi|pl)$/i", $this->ext)) return false;

* r6 `$ K% l. b) o6 F, j- D

! i9 G O2 P! y1 O J0 W: a         return true; , N6 ~' V1 k) h5 P! f

. u4 N+ t. x! Y     } 8 a1 x7 C2 A' r3 r% q; L! t

1 |7 P) C5 F# z% q6 @; i6 K

可以看到这里仅仅对$this->ext进行了检查，如前此时$this->ext为jpg，检查通过。

接着会进行真正的保存。通过$this->set_savepath($this->savepath); $this->set_savename($this->savename);设置了$this->saveto，然后通过move_uploaded_file($this->file, DT_ROOT.'/'.$this->saveto)将file保存到$this->saveto ，注意此时的savepath、savename、saveto均以php为后缀，而$this->file实际指的是第二个jpg文件。

# W) J" `( |3 _' T* ] 漏洞利用

综上，上传两个文件，其中第一个文件以php为结尾如1.php，用于设置后缀名为php；第二个文件为1.jpg，jpg用于绕过检测，其内容为php一句话木马(图片马)。

6 J. I( ]( }0 V7 {8 ?  

, ~. n1 b- X H4 [: e u6 p 然后访问http://127.0.0.1/file/temp/avatar1.php 即可。其中1是自己的_userid

不过实际利用上会有一定的限制。

第一点是destoon使用了伪静态规则，限制了file目录下php文件的执行。 % |: Y$ C4 w9 B8 D6 S

# v; b8 @' u0 D( N* Z

' k+ N" M( B5 p, C0 ~   1 q$ t8 Y$ w; m& m" \

第二点是avatar.inc.php中在$upload->save()后，会再次对文件进行检查，然后重命名为xx.jpg：

省略...$img = array();$img[1] = $dir.'.jpg';$img[2] = $dir.'x48.jpg';$img[3] = $dir.'x20.jpg';$md5 = md5($_username);$dir = DT_ROOT.'/file/avatar/'.substr($md5, 0, 2).'/'.substr($md5, 2, 2).'/_'.$_username;$img[4] = $dir.'.jpg';$img[5] = $dir.'x48.jpg';$img[6] = $dir.'x20.jpg';file_copy($file, $img[1]);file_copy($file, $img[4]);省略...

3 q$ W ?# n: A' Z 因此要利用成功就需要条件竞争了。 # J& y+ m9 ~- o- v. O; T( b

( t6 H% h8 [) O9 ~+ C 补丁分析 7 P" J" a" S; q3 B

  ) W3 U0 w) b: |, u1 J8 B

, P* M: j, @& j& q8 r! \ 在upload的一开始，就进行一次后缀名的检查。其中is_image如下： + H' M9 x Y0 U4 U

function is_image($file) {    return preg_match("/^(jpg|jpeg|gif|png|bmp)$/i", file_ext($file));} ! V6 |" b+ M' P7 D

) [ p0 R& T# |# X; @, K3 ^

. ]# U P% J+ |3 T5 U' K; c6 @  

% u. ^0 W3 c3 l; B: g 在__construct()的foreach中使用了break，获取了第一个文件后就跳出循环。 - s5 u6 o8 N% z0 B" `6 X9 _

! f7 k- _6 F- N0 A

在is_allow()中增加对$this->savename的二次检查。

1 t0 c: R% S/ H7 H4 R 最后 1 c) L. @, _- H1 k9 Z

. g9 } ?* c: W9 E, H' _

嘛，祝各位大师傅中秋快乐！ ( {9 z9 i' N: y; _. A

: j3 q2 q" M$ S4 [, F

 

6 r' M) ~0 Q* l6 R D