Destoon cms前台getwebshell

admin

. q% C, G6 q2 u! r k! U) V

6 D; r& O5 h- Q' |- Y

' w$ _( P+ K$ w5 ~0 I0 }' u

. X2 H8 t8 J2 I! F; n/ x 前言 t, Z( R2 y6 e7 A0 J" v: b

8 b$ e U: b" U6 c' Q5 t

2018年9月21日，Destoon官方发布安全更新，修复了由用户“索马里的海贼”反馈的一个漏洞。

  4 _; n ]; a( e* A2 E; U" [

6 d5 R( I; _: O) r( n4 j/ M2 B" m

漏洞分析 2 n( V$ T" n0 @7 H, v

8 `" Z6 N4 R9 I! O; m. D/ P. f

根据更新消息可知漏洞发生在头像上传处。Destoon中处理头像上传的是 module/member/avatar.inc.php 文件。在会员中心处上传头像时抓包，部分内容如下： + w1 y# {; w8 h8 M# V7 Y

- }6 L1 ^& m9 q$ K% H: R8 _

 

对应着avatar.inc.php代码如下： ! z4 ]: E' J- E. Q% M% n9 }& H

1 ~) P9 T6 x. i# f <?php defined('IN_DESTOON') or exit('Access Denied');login();require DT_ROOT.'/module/'.$module.'/common.inc.php';require DT_ROOT.'/include/post.func.php';$avatar = useravatar($_userid, 'large', 0, 2);switch($action) {

    case 'upload':

        if(!$_FILES['file']['size']) {

            if($DT_PC) dheader('?action=html&reload='.$DT_TIME); 9 \) I* f# F7 s) }0 M; A2 \

/ X% {. n# |, z( t8 j

; {$ M: Q; }9 {6 w/ p5 j             exit('{"error":1,"message":"Error FILE"}');

        } 1 e; V0 p [, R3 w! \& c

4 h" c# g& L/ L2 L

        require DT_ROOT.'/include/upload.class.php'; " x& m( }! V! S+ L6 S/ C

  9 q4 I1 k: S9 D9 Z: L

4 b& \/ O* g+ g9 ~1 L' \; r5 h         $ext = file_ext($_FILES['file']['name']); 5 t$ C4 [# J! l4 N% x- E

@/ W1 q; W* [ j3 Y         $name = 'avatar'.$_userid.'.'.$ext;

        $file = DT_ROOT.'/file/temp/'.$name; ' ?5 G) M' s. G8 f. `

  / I( a& C; W4 z2 J

! x3 Q: |- J* n: ?1 Y- g# d0 n. D

        if(is_file($file)) file_del($file);

        $upload = new upload($_FILES, 'file/temp/', $name, 'jpg|jpeg|gif|png'); s3 D& _4 [7 W0 K' E

0 F" Y3 b4 o Q

$ P+ L9 x7 b' I! [" H$ {0 O   + W0 V6 r2 T% h1 l7 T' O

        $upload->adduserid = false;

8 r8 p2 a$ X6 n1 ~

  1 r3 m$ v1 d+ n4 e& C7 J+ W+ j

; D4 n; e& ^) ^9 r         if($upload->save()) {

, N4 ?) |4 h$ _3 n; |8 Y             ... $ w% W" O$ B$ q9 c8 D

: i# y. j5 L e* Y# b

        } else {

, k' O! j" m1 W2 Z0 K; y+ J8 d             ...

, w# `- F1 j8 B+ d( ]

# d6 j2 m- m8 c N/ y: ]9 a# S         }

0 T4 M0 |, a# x H% } R1 @

- }# E9 O4 T7 g. d     break;

3 f+ z. H) q$ C7 q! u {, U

这里通过$_FILES['file']依次获取了上传文件扩展名$ext、保存临时文件名$name、保存临时文件完整路径$file变量。之后通过new upload();创立一个upload对象，等到$upload->save()时再将文件真正写入。 2 o" M# H) ]% `, ~1 p

upload对象构造函数如下，include/upload.class.php:25： # ^( w/ l7 K6 |

$ a: w( H% V6 }' l; V! L

<?phpclass upload { 2 k4 H9 E1 S) _& x# L f2 z, V. h ?2 \

: Q# T# d v+ l" s* m

    function __construct($_file, $savepath, $savename = '', $fileformat = '') {

' D# G0 g3 p5 d         global $DT, $_userid; : W9 n2 ]3 c4 N4 h. j

2 j% _ ~) k& ^( h6 ^ V7 E% o

        foreach($_file as $file) { 4 v& A" m0 J0 G4 h( k+ l

1 I/ ]' P" w4 H; o

            $this->file = $file['tmp_name'];

0 E- K Z4 a! j0 k7 a% s& M             $this->file_name = $file['name'];

" n: Z8 R! Y Y: A! q

            $this->file_size = $file['size'];

7 \6 a7 \% t$ r# z( [* \! s

            $this->file_type = $file['type']; ) h: @7 y1 [, L' _4 v

/ F4 x# b D& ~

            $this->file_error = $file['error'];

. G d% r, o+ U+ k

M/ S- d6 T$ B V. n5 x Y   " J: ~( s) ~" X Q3 ^, ^$ }+ l

        } $ H' V# ?6 w- d8 f% [* Y

" m2 |9 N1 s$ c$ R

        $this->userid = $_userid; ( o$ A" R) X; K, o- I$ F# `4 E, R

        $this->ext = file_ext($this->file_name); ( K+ r) a: V+ a+ j, j

- _9 x" W# Q% i( G

# `# f7 u6 `. Z1 [( e* f w# a         $this->fileformat = $fileformat ? $fileformat : $DT['uploadtype']; % l# f' ?1 ^. p3 j ~8 X' q* E

0 j N" ~4 S' r, y+ X+ ^1 g" @. I( Z         $this->maxsize = $DT['uploadsize'] ? $DT['uploadsize']*1024 : 2048*1024; ' S' [- ?9 c6 v( W' ]6 g( T

) P8 M$ V7 i; H

        $this->savepath = $savepath; $ f* z4 X1 i9 p" V

        $this->savename = $savename;

. q _1 x; w) }) J9 h& R n     }} # @3 `8 k. P! C

这里通过foreach($_file as $file)来遍历初始化各项参数。而savepath、savename则是通过__construct($_file, $savepath, $savename = '', $fileformat = '')直接传入参数指定。

' K, R# r- N% K* j% Q1 t6 }

1 M( @- x e& B6 ` `( b 因此考虑上传了两个文件，第一个文件名是1.php，第二个文件是1.jpg，只要构造合理的表单上传（参考：https://www.cnblogs.com/DeanChopper/p/4673577.html），则在avatar.inc.php中 & \! V4 j9 ]) m) @, x& s

7 \" u& b2 f1 M$ ]% c

( Z* @$ E4 j- i $ext = file_ext($_FILES['file']['name']); // `$ext`即为`php` $name = 'avatar'.$_userid.'.'.$ext; // $name 为 'avatar'.$_userid.'.'php'$file = DT_ROOT.'/file/temp/'.$name; // $file 即为 xx/xx/xx/xx.php , V9 C" k @* _4 d2 A) I" V. f

1 ^1 A! Z6 @8 {5 c

而在upload类中，由于多个文件上传，$this->file、$this->file_name、$this->file_type将foreach在第二次循环中被置为jpg文件。测试如下：

! k) c; [5 j; |, r4 I2 \* `. U) B# A  

1 t1 Z5 D% g" t1 E( f 回到avatar.inc.php，当进行文件保存时调用$upload->save()，include/upload.class.php:50:

<?phpclass upload {

    function save() { ! R/ G3 @' S) X3 ^

; X+ E: U* ~& n- v' N# R# l$ b

2 W U9 K" u/ V z3 [: c         include load('include.lang');

4 m3 o3 z A) S

3 x$ S: V: D& G" Y2 ^         if($this->file_error) return $this->_('Error(21)'.$L['upload_failed'].' ('.$L['upload_error_'.$this->file_error].')'); 2 R2 ^1 t2 \$ l, `

  2 N h6 u9 u' b1 O5 T

& J3 W' w6 B+ v/ z6 A( r

8 P: F, A$ c; ~; H7 _5 O         if($this->maxsize > 0 && $this->file_size > $this->maxsize) return $this->_('Error(22)'.$L['upload_size_limit'].' ('.intval($this->maxsize/1024).'Kb)');

 

        if(!$this->is_allow()) return $this->_('Error(23)'.$L['upload_not_allow']);

/ z: V* J4 M3 h

! W u3 ^% E- m0 b) o3 R   0 `. D" j7 v( j/ q- R! n6 t4 a5 D

( w8 Q: ?7 n# n( ~" n/ I

2 T, r+ b& D8 N D; I         $this->set_savepath($this->savepath);

; z! |3 z8 O9 |9 v

% s$ U% i* ]: v         $this->set_savename($this->savename);

7 o8 B) f# p+ K/ y8 K

5 [% V# T# F0 a+ r2 q   : i% G0 \1 e3 X$ M n- g- J

' V3 N- V6 U% t) S         if(!is_writable(DT_ROOT.'/'.$this->savepath)) return $this->_('Error(24)'.$L['upload_unwritable']);

        if(!is_uploaded_file($this->file)) return $this->_('Error(25)'.$L['upload_failed']); 3 h: d \3 }$ n+ q2 w% C' Y

8 K/ N3 i9 q( ^/ U* ?! [# ^/ f         if(!move_uploaded_file($this->file, DT_ROOT.'/'.$this->saveto)) return $this->_('Error(26)'.$L['upload_failed']); + S0 l7 B& q% Z, u8 L

$ q. |) U$ S& w   + l- ]# c7 f4 B; i

/ T1 g. U$ c6 g. b         $this->image = $this->is_image();

* S+ r) _6 `& M# D1 t+ W) P         if(DT_CHMOD) @chmod(DT_ROOT.'/'.$this->saveto, DT_CHMOD);

" w Y+ z3 J9 I: R

% Q `. n& ]7 k! s: x         return true; , X, o$ ^' u: \8 E# ]2 B

    }} " p, e* H2 h: f+ C' U9 s7 I6 ?

: z7 q# x+ Y9 ]4 `6 B 先经过几个基本参数的检查，然后调用$this->is_allow()来进行安全检查 include/upload.class.php:72：

9 l) @& q! Y5 i

<?php 7 E( ?) w+ ^/ E; v

5 p3 {. N' ~. f     function is_allow() {

- A$ I& x. T+ Z4 V' T

        if(!$this->fileformat) return false;

7 q" ~# Z8 G5 Y( g, c" G

        if(!preg_match("/^(".$this->fileformat.")$/i", $this->ext)) return false;

        if(preg_match("/^(php|phtml|php3|php4|jsp|exe|dll|cer|shtml|shtm|asp|asa|aspx|asax|ashx|cgi|fcgi|pl)$/i", $this->ext)) return false; " K/ z8 a7 c0 u7 \

9 u' N0 u5 ]8 c( |

1 t+ ~, E( z' o7 T {5 e& w# N5 ~         return true; % y9 l, h* Q B! v& x

1 _9 I4 Y7 O$ o' f2 t! A

    } ( U# _' T0 E1 l9 D5 W- {: M& Y

: b+ T* X# v, u' W 可以看到这里仅仅对$this->ext进行了检查，如前此时$this->ext为jpg，检查通过。

/ L1 F8 P4 p9 E 接着会进行真正的保存。通过$this->set_savepath($this->savepath); $this->set_savename($this->savename);设置了$this->saveto，然后通过move_uploaded_file($this->file, DT_ROOT.'/'.$this->saveto)将file保存到$this->saveto ，注意此时的savepath、savename、saveto均以php为后缀，而$this->file实际指的是第二个jpg文件。

0 \/ P. C7 M* a- j/ u

: ^0 I3 ], L9 X. f 漏洞利用 ; f: f" x5 F- N' k1 \" v' Z

综上，上传两个文件，其中第一个文件以php为结尾如1.php，用于设置后缀名为php；第二个文件为1.jpg，jpg用于绕过检测，其内容为php一句话木马(图片马)。

) r, J7 }+ o" J

  ! W) A2 l* ^* S3 M' R @* \

1 \+ ]0 p/ U! R4 g/ X

然后访问http://127.0.0.1/file/temp/avatar1.php 即可。其中1是自己的_userid ( {3 p% J7 {/ a0 \

, ?9 m6 Q6 \6 c5 s) \# h9 g

! g4 d/ [2 t8 y* d 不过实际利用上会有一定的限制。 0 m! i9 L+ q8 B( f

. r$ t: S2 T0 P9 m; Y

6 e( r0 }4 D) y. | 第一点是destoon使用了伪静态规则，限制了file目录下php文件的执行。

* D. @6 c1 [5 ?7 a

% m4 N8 }! E7 u' P7 Q! g& p   2 C0 K8 U& _# G9 t3 _. D

( T) q' T7 ?# r( B8 Z2 |! j

0 k8 M7 C* @2 ]2 b3 `8 M1 }, h3 y 第二点是avatar.inc.php中在$upload->save()后，会再次对文件进行检查，然后重命名为xx.jpg： 7 ^# j/ Q( G/ m- h! ]$ m; N

. W) v" w2 F8 w+ a) p1 k

r {( ]0 H1 `% J- u, @! y: Y8 q 省略...$img = array();$img[1] = $dir.'.jpg';$img[2] = $dir.'x48.jpg';$img[3] = $dir.'x20.jpg';$md5 = md5($_username);$dir = DT_ROOT.'/file/avatar/'.substr($md5, 0, 2).'/'.substr($md5, 2, 2).'/_'.$_username;$img[4] = $dir.'.jpg';$img[5] = $dir.'x48.jpg';$img[6] = $dir.'x20.jpg';file_copy($file, $img[1]);file_copy($file, $img[4]);省略... ; e- C# r% ^' B1 [4 I5 j# X9 z

2 x3 l1 C0 u5 ^+ f) V P: g

/ y- y' {# u3 a* U6 A 因此要利用成功就需要条件竞争了。 * R; X2 R- Z- u B% m: ]5 a4 }

/ D* s5 J7 m0 y* ^0 ]6 ~ 补丁分析 ) W9 g: ^# d7 A5 W, @

 

在upload的一开始，就进行一次后缀名的检查。其中is_image如下： , W# H! ~1 T* ^" |

function is_image($file) {    return preg_match("/^(jpg|jpeg|gif|png|bmp)$/i", file_ext($file));} 0 n$ J0 G$ r- g

3 h. q. C. g: f( {% W: W

[" |! b$ l: \0 `+ j' `/ U   * ]. W2 s0 M; r: p

3 Y- [3 @' ]* g+ _$ c

) D [0 _. V9 J: q/ X7 ]! D4 v 在__construct()的foreach中使用了break，获取了第一个文件后就跳出循环。

在is_allow()中增加对$this->savename的二次检查。 " t. k' }0 U% m9 g+ }" N9 m; `. y" y

3 U1 Y5 P" q& `, C, E 最后

8 m- i* L; U6 S

嘛，祝各位大师傅中秋快乐！ & e9 w8 y! V- R$ U- U, d2 B% Q

% ?! v7 T$ o- W2 [+ n! i

  . q+ u$ j* y4 g) _

: G! F4 {' M+ q; Z9 w