Destoon cms前台getwebshell

admin

5 p1 @8 ?& U2 S6 U v" Z

前言

. ^9 H- a( x% ]6 y; d+ I/ \

2018年9月21日，Destoon官方发布安全更新，修复了由用户“索马里的海贼”反馈的一个漏洞。 : I: C$ b& c9 b

  / W' P- C- _' J0 G) h

X5 {, V7 O8 I" E. u8 A. ]

漏洞分析 2 R; B3 z0 _) H" @1 e

3 p; C! n5 c- E' W; d9 R

根据更新消息可知漏洞发生在头像上传处。Destoon中处理头像上传的是 module/member/avatar.inc.php 文件。在会员中心处上传头像时抓包，部分内容如下： * U& w, @& L- C- v

! u+ N% m; U- }$ J3 N

  - p% u+ h" [: h8 `+ W5 }$ g

* |' f+ j: r* f6 [# v" i9 [& t 对应着avatar.inc.php代码如下：

<?php defined('IN_DESTOON') or exit('Access Denied');login();require DT_ROOT.'/module/'.$module.'/common.inc.php';require DT_ROOT.'/include/post.func.php';$avatar = useravatar($_userid, 'large', 0, 2);switch($action) { . f4 v& R2 f) d& z* K5 O

; U1 P0 A6 E- M: G! m

* q# ]6 F* Q. b9 C     case 'upload': 0 e5 U. C8 m/ t, T3 r5 C/ J/ Y: Z

/ h+ ?% _! c$ O9 M

        if(!$_FILES['file']['size']) {

9 P4 z7 @& S4 N: T; J

            if($DT_PC) dheader('?action=html&reload='.$DT_TIME);

            exit('{"error":1,"message":"Error FILE"}');

+ @' f/ {/ [6 I/ x7 N% ]         } 3 U4 w0 G& o2 g+ ^

8 M" I# F& W" y0 @

- C2 [- H9 P4 v         require DT_ROOT.'/include/upload.class.php'; ; F) T& ~; j& V5 X! v2 t8 \

8 W4 Y% `; C3 S) q# u: Q" y

 

& u1 Q5 F6 J% g+ o8 m8 \/ Y" p

        $ext = file_ext($_FILES['file']['name']); # x; M1 R7 X# v

        $name = 'avatar'.$_userid.'.'.$ext;

$ Z' |; o. C' n

        $file = DT_ROOT.'/file/temp/'.$name; & z/ T6 @5 t6 H

  0 ~/ o( I9 h: ~( L$ F' P

        if(is_file($file)) file_del($file);

; x, z6 Z9 y1 B2 a; b: t

' ~' @# `% {# e7 \6 Z: I; h         $upload = new upload($_FILES, 'file/temp/', $name, 'jpg|jpeg|gif|png'); , d0 g: S1 w6 {! y" y* S

7 G' q& P# a" X$ E/ [# Q4 {

 

        $upload->adduserid = false; # z! n- }- F+ Z6 S/ O* R, s* q2 Z

0 J( t+ x! t) \7 ^# K

0 l7 E9 D. s. O' s  

* R5 a/ t4 H6 V+ K0 n, K5 d

5 e. r- e* i1 I9 y         if($upload->save()) { + ]( T9 Q) c0 [1 P1 p) Q& X6 K/ ~) I

" S/ m& E9 r3 p

            ... 6 l8 L. @, w, @, F5 i- ~

" J* Z3 q# d1 p& w4 T0 y

4 J; |5 Z1 a+ }" L% l& r' L: I         } else {

            ...

        }

& s$ e* j6 N. K2 ?9 A6 c1 |7 N E

    break;

& G+ `5 U8 E L, ^

/ \( }# `& `7 e" ] 这里通过$_FILES['file']依次获取了上传文件扩展名$ext、保存临时文件名$name、保存临时文件完整路径$file变量。之后通过new upload();创立一个upload对象，等到$upload->save()时再将文件真正写入。

: t7 u, h# t* p( P upload对象构造函数如下，include/upload.class.php:25： ' ~$ \! W' c j6 n

<?phpclass upload {

    function __construct($_file, $savepath, $savename = '', $fileformat = '') { * p9 t7 L ?! l8 X0 ]6 B5 M

        global $DT, $_userid; 3 a7 c1 D4 ^- B8 }% f2 Z

& c; S( c' v2 ]# K# `- p4 s         foreach($_file as $file) { 6 t% s" o) l% k5 l0 b) l) t5 Y

. N% y ^2 h3 s2 E, u+ ^

% N* w* {* n9 B$ W             $this->file = $file['tmp_name'];

/ G- N# b- |: m% b& S

* m5 u, I5 j2 X: p3 c0 T9 o w `             $this->file_name = $file['name']; : W: H5 E* H6 E4 c( A

            $this->file_size = $file['size']; + y* v6 ? @" h' L

8 u8 j8 A0 B+ o! \8 ?/ @# c

            $this->file_type = $file['type'];

1 z: W; @0 r3 g- X6 t# M             $this->file_error = $file['error'];

( H/ p K; T, H, L8 X  

        } : \. c. S1 \6 N5 \

: j$ d/ p+ a) u

        $this->userid = $_userid; ! n0 q5 }( R% I$ h. x6 _6 p

9 V& F' l0 J" D         $this->ext = file_ext($this->file_name);

        $this->fileformat = $fileformat ? $fileformat : $DT['uploadtype']; : L% h. W# h- A9 n9 x) q

( z( O! Z5 @3 |

" L, I/ i: L! ~         $this->maxsize = $DT['uploadsize'] ? $DT['uploadsize']*1024 : 2048*1024; ' T2 ] d( a, A9 x- s

; B& C7 v$ x8 w6 w( C6 B         $this->savepath = $savepath; 3 Y) `3 d, X0 n$ f7 C% d

g$ d; {) B/ |2 ]

9 N6 y! S% P0 U3 e7 j         $this->savename = $savename;

# b5 K' x4 d, i& a5 G

    }} " h# J; ]) L. R# Y1 k2 G- Z8 i

+ S' b# G8 \+ G1 t$ B 这里通过foreach($_file as $file)来遍历初始化各项参数。而savepath、savename则是通过__construct($_file, $savepath, $savename = '', $fileformat = '')直接传入参数指定。

f3 a0 q4 s1 c1 L2 Z# X

因此考虑上传了两个文件，第一个文件名是1.php，第二个文件是1.jpg，只要构造合理的表单上传（参考：https://www.cnblogs.com/DeanChopper/p/4673577.html），则在avatar.inc.php中

$ D! \5 I% Q9 ]: n' f

$ext = file_ext($_FILES['file']['name']); // `$ext`即为`php` $name = 'avatar'.$_userid.'.'.$ext; // $name 为 'avatar'.$_userid.'.'php'$file = DT_ROOT.'/file/temp/'.$name; // $file 即为 xx/xx/xx/xx.php

% \2 }( a8 T: A1 a7 i4 ]" L! N8 ?0 L 而在upload类中，由于多个文件上传，$this->file、$this->file_name、$this->file_type将foreach在第二次循环中被置为jpg文件。测试如下：

  3 U& T7 A* e0 G" p& d/ o' {! n

9 i% ?# I6 t k# ^

回到avatar.inc.php，当进行文件保存时调用$upload->save()，include/upload.class.php:50: 6 [1 V$ U9 w0 @" M k

9 c9 Y2 T5 L9 e: r% F9 O

<?phpclass upload {

$ T1 |: A( c9 c9 ?( G

    function save() { 0 _) D' H1 a: z* y6 G1 K3 W0 S- {

$ e" I* z; ^3 R) K4 [

3 ?! \: H& I+ U         include load('include.lang'); , P0 \) p) W- M$ {" A* H' k# s

* Y) l; O e& k: `( ?3 z

- o1 h7 n; S$ k' J         if($this->file_error) return $this->_('Error(21)'.$L['upload_failed'].' ('.$L['upload_error_'.$this->file_error].')');

 

, ~" A) z2 J5 p/ h: M s( _

        if($this->maxsize > 0 && $this->file_size > $this->maxsize) return $this->_('Error(22)'.$L['upload_size_limit'].' ('.intval($this->maxsize/1024).'Kb)'); / P6 A# e% r! d

: z& L; Z' @$ M, a" L

  0 A8 \% t0 L* j; t/ Z$ R; ]6 N. x. s

5 W3 B5 S' O4 _7 Z: T8 [* ?- t& L

' M y! ?/ g. t3 ]5 g4 Z         if(!$this->is_allow()) return $this->_('Error(23)'.$L['upload_not_allow']);

 

0 c# G. F$ @1 D

8 E& | W/ G) K/ T         $this->set_savepath($this->savepath); 1 G4 K4 a( E+ |; v4 u- M) _

        $this->set_savename($this->savename);

% |- a- o/ R3 k6 a0 j& W

4 v ^# F' q+ k! [   9 l7 }, J0 J6 q" f% ?# w5 o1 Q

f0 G! S8 [2 J( q7 J

( X I2 }& ~# E# u- b# J: Q/ N         if(!is_writable(DT_ROOT.'/'.$this->savepath)) return $this->_('Error(24)'.$L['upload_unwritable']);

9 p4 k# Y8 ]- a3 c' P2 R9 X         if(!is_uploaded_file($this->file)) return $this->_('Error(25)'.$L['upload_failed']);

$ n5 X! Z$ e, K) ^ K0 H

+ k `8 u* M4 h/ w- j. u! ^         if(!move_uploaded_file($this->file, DT_ROOT.'/'.$this->saveto)) return $this->_('Error(26)'.$L['upload_failed']); ( {2 y9 C0 \# w0 ? D8 X

( k$ {8 c6 r3 ~6 U& K9 }/ f

 

        $this->image = $this->is_image();

        if(DT_CHMOD) @chmod(DT_ROOT.'/'.$this->saveto, DT_CHMOD); 8 C. c8 h' R Y! k) m

        return true; 0 [) h( o9 L+ b6 S& @7 d" w

8 g9 I/ j; h$ M. Z

, o0 S0 b9 t$ Q$ o6 C     }}

! e0 T/ ?$ _( V: E 先经过几个基本参数的检查，然后调用$this->is_allow()来进行安全检查 include/upload.class.php:72： 7 q! b1 ]5 c# J% x! E

L9 h% ^( N# N, t7 r; x( R: H

<?php

1 ?8 R' j* {. Z2 \' ?- q     function is_allow() { L) p& z% t* d4 L+ Z* n! [0 F9 W/ r) Y

/ O- N& b% Q' ]% i9 b

1 J/ Z3 a5 J& E. _5 l2 C' i         if(!$this->fileformat) return false; # [; b5 C( l3 y! F

$ j. B7 l& U* b6 X

        if(!preg_match("/^(".$this->fileformat.")$/i", $this->ext)) return false; , z8 H0 ?8 f3 t

        if(preg_match("/^(php|phtml|php3|php4|jsp|exe|dll|cer|shtml|shtm|asp|asa|aspx|asax|ashx|cgi|fcgi|pl)$/i", $this->ext)) return false; ! h, P1 y( K! A( G& u

$ m) j1 }9 u+ O

        return true; 1 [8 [0 w+ r) x( s

( L" \% Q" I3 c* y     }

. O9 q8 ]: V8 z8 Y! y& U 可以看到这里仅仅对$this->ext进行了检查，如前此时$this->ext为jpg，检查通过。 4 @6 l1 u" N+ U9 h& b

接着会进行真正的保存。通过$this->set_savepath($this->savepath); $this->set_savename($this->savename);设置了$this->saveto，然后通过move_uploaded_file($this->file, DT_ROOT.'/'.$this->saveto)将file保存到$this->saveto ，注意此时的savepath、savename、saveto均以php为后缀，而$this->file实际指的是第二个jpg文件。 5 s- B- D* V& A; b$ f3 l, J

- o9 ?) m4 I. L* \: G# J5 R

漏洞利用

3 J: S4 h( J- N- C9 v

综上，上传两个文件，其中第一个文件以php为结尾如1.php，用于设置后缀名为php；第二个文件为1.jpg，jpg用于绕过检测，其内容为php一句话木马(图片马)。 / y1 @% r0 T: C% v7 ]

& p6 @, T7 { \8 q

& q# W! z' n! K- ]" e   1 Z7 { y- v# f% T

. G6 m: o: M: ?9 [& G 然后访问http://127.0.0.1/file/temp/avatar1.php 即可。其中1是自己的_userid

1 j Q5 X- S" Q4 y3 l8 r

不过实际利用上会有一定的限制。 5 j6 n; i3 Y4 _! u4 Y

9 A4 G! K. u6 y" f' C8 G7 z6 ~. f 第一点是destoon使用了伪静态规则，限制了file目录下php文件的执行。

 

& U( g* j1 `# \: |) A$ _& {# l 第二点是avatar.inc.php中在$upload->save()后，会再次对文件进行检查，然后重命名为xx.jpg： * e* q# D6 X$ t0 w

; B9 p$ C. P9 d7 A3 h# q- N

省略...$img = array();$img[1] = $dir.'.jpg';$img[2] = $dir.'x48.jpg';$img[3] = $dir.'x20.jpg';$md5 = md5($_username);$dir = DT_ROOT.'/file/avatar/'.substr($md5, 0, 2).'/'.substr($md5, 2, 2).'/_'.$_username;$img[4] = $dir.'.jpg';$img[5] = $dir.'x48.jpg';$img[6] = $dir.'x20.jpg';file_copy($file, $img[1]);file_copy($file, $img[4]);省略... 5 M# y2 Q5 q; O; B1 I' N) {

& W9 n8 Q& R' g1 @5 [6 Z. z& p

4 j: C. I# J. F9 |1 w$ o 因此要利用成功就需要条件竞争了。 0 @, \' e) M" l2 i, {

补丁分析 ( X) y' ^; u2 K0 `. G. j o

1 ]; V5 t. `. C& U  

2 I) J6 R. Z2 |9 j 在upload的一开始，就进行一次后缀名的检查。其中is_image如下： 0 u" ]: X9 L# W# m0 s

$ j& f2 K( x* o" U/ Y# e' ~ function is_image($file) {    return preg_match("/^(jpg|jpeg|gif|png|bmp)$/i", file_ext($file));} 2 K, Z* U# X; n+ o! b n* b

8 }/ O. }! S" t; N x' c2 y

  0 O, H+ @2 V/ @% {

: l2 u: C8 R& X$ V2 Q2 J: r6 ` 在__construct()的foreach中使用了break，获取了第一个文件后就跳出循环。 4 y' n+ w9 @8 W/ r

; B( A: ~+ V; z& m! K% s' k6 W

在is_allow()中增加对$this->savename的二次检查。 1 T! r4 A+ A1 B1 ?3 S

* V) g# S5 L4 |2 }% ] 最后 4 D* X K0 J' o0 {

9 M; a8 D _+ W+ A9 E/ W- l. ?

( n5 u6 ?9 y; T w& h; G/ m 嘛，祝各位大师傅中秋快乐！ ; f* T8 O3 ^( {; n5 T a# b

  * l c6 E- p( ?- l* S Y4 D0 \

3 N" s/ E' h9 E+ h. v D3 n