Destoon cms前台getwebshell

admin

( l# Y2 d0 ~3 E% R! C4 n

前言 ( J# S, n- D9 O0 ~0 a& g( R9 s2 }! [

2018年9月21日，Destoon官方发布安全更新，修复了由用户“索马里的海贼”反馈的一个漏洞。 4 @+ }0 ^, g+ B: E2 E C( f$ R

+ m' X, `3 \/ L6 o" d, S

6 B r1 A( l4 w" b  

& L, c. N9 ^. |, \

% }5 A- j$ w1 l2 O 漏洞分析

+ f5 P. ^1 N8 n! B2 H: {+ H# \ 根据更新消息可知漏洞发生在头像上传处。Destoon中处理头像上传的是 module/member/avatar.inc.php 文件。在会员中心处上传头像时抓包，部分内容如下：

) M0 e5 g9 k6 R

  $ |4 _9 K9 \8 q, B0 D( t

" g0 n7 O/ ~# \! g1 I# L9 x/ @4 J6 ]

- ^4 o* u1 V- L% E$ D; [9 G 对应着avatar.inc.php代码如下：

7 C7 v9 q% k! ^7 q& W, B <?php defined('IN_DESTOON') or exit('Access Denied');login();require DT_ROOT.'/module/'.$module.'/common.inc.php';require DT_ROOT.'/include/post.func.php';$avatar = useravatar($_userid, 'large', 0, 2);switch($action) {

; N% @: D( S$ ^1 [3 c     case 'upload':

e% A3 {# U2 ~9 P! O% J0 Y

) M, L) E4 `9 r% }7 M, l         if(!$_FILES['file']['size']) {

/ l* W( }7 o& J! K" H( X$ T             if($DT_PC) dheader('?action=html&reload='.$DT_TIME); , }0 [7 l. m7 F4 f' d+ l- F" O

- L- J7 \- V9 |# L' r/ {8 _8 N

            exit('{"error":1,"message":"Error FILE"}'); ) K8 p0 Z5 ~+ }2 Z

2 V8 M3 f7 Z, ]# u

6 n1 N( e) E5 h! j1 _         }

* A. t9 R" B/ z; W         require DT_ROOT.'/include/upload.class.php';

  % B& S) k' v7 V9 O2 ~

        $ext = file_ext($_FILES['file']['name']);

5 y. f% F" h) g; o; h1 w# z

        $name = 'avatar'.$_userid.'.'.$ext; ! y/ i0 m; V4 S# Z

4 r- E/ q% j+ A8 z' {0 `         $file = DT_ROOT.'/file/temp/'.$name;

2 K; E- N) E) |( B; ]' D4 V

 

% s# l' I) R; w! v7 J         if(is_file($file)) file_del($file); 3 e3 q7 y7 |. o! }

: O+ m+ I$ } [7 a# S- ?$ i$ W         $upload = new upload($_FILES, 'file/temp/', $name, 'jpg|jpeg|gif|png');

  * n9 N$ z. d) I* j

        $upload->adduserid = false;

$ {1 k6 P( _% u) [) A

9 D# w/ T) v; V" N! V   5 @: \5 A0 f6 W$ f) D6 c1 X$ T

: H$ Q# K$ t& _) p) p, Y

8 N1 t& S( B6 g, t         if($upload->save()) {

8 z+ P, a9 S* ~9 c3 P

            ...

X$ P( H$ i0 i% m         } else { + D6 V1 j* K7 U) ^! H# d" {

            ... 5 f. J* q5 `' C& T9 k4 c

        } + H- b; w7 C- ]; C

! E: q" g4 {" G) v' l- u6 z |     break; 0 ?) {/ k: g0 K! b9 E9 c: c

这里通过$_FILES['file']依次获取了上传文件扩展名$ext、保存临时文件名$name、保存临时文件完整路径$file变量。之后通过new upload();创立一个upload对象，等到$upload->save()时再将文件真正写入。 & i$ {3 {) e9 M* u% g( b A

# u' C+ b5 ]& K# ?; ]$ C, G1 u2 ] upload对象构造函数如下，include/upload.class.php:25：

2 L4 u2 w! T; f/ l# y9 }# k <?phpclass upload {

! D& |9 p6 Q0 f) j( l$ k

N) Q0 q" y8 v, B     function __construct($_file, $savepath, $savename = '', $fileformat = '') { 7 C+ [. Y" g: C* k/ K% _! Q

3 N+ f$ |0 f" J- i+ q( R& c

8 u9 u3 m# D) F& Z         global $DT, $_userid; 5 d w" T I9 X6 R6 O4 S

        foreach($_file as $file) {

2 U: @: p! y; z/ I; t( l/ v/ C

' u, j) p" Q: h; l             $this->file = $file['tmp_name'];

8 A% J' Y* f- w1 J; p& b3 b x2 L

- W8 _8 B! Y8 b% F( Q# e% o             $this->file_name = $file['name']; - m/ z# u2 s( k0 _9 S; @6 T9 [

0 r" x E9 d& a% l

            $this->file_size = $file['size'];

4 T7 v% ~) t% v7 L             $this->file_type = $file['type'];

' g+ H$ R$ B; q, v

4 [; m+ t6 u4 h: [             $this->file_error = $file['error']; & _( b& N/ v8 a( T8 z/ B

! R9 o% B% q1 F$ W4 ~5 s8 U' g/ o

 

S1 h) P! c! I1 r% A4 o& l5 G2 `6 L7 q

* Z% T1 P( ?1 ?1 o* E         } 1 d) Y% h/ i6 v

4 s$ E' g. K% y% h' z8 D* U6 i         $this->userid = $_userid; ) A% p1 |) j8 f( i1 O

" i; Q3 s! a* C

        $this->ext = file_ext($this->file_name); , q; I, Y& _: Y% x- \9 V

        $this->fileformat = $fileformat ? $fileformat : $DT['uploadtype'];

- _( i) p% L& Y* t# h. _. v         $this->maxsize = $DT['uploadsize'] ? $DT['uploadsize']*1024 : 2048*1024; . D0 ?! |3 q3 S' V

8 Y; W1 V) D+ x$ Y5 b7 |

5 Z: o; ~( `0 U) x2 A; t' V         $this->savepath = $savepath;

) z3 h, {% Q, l6 `) T! k0 C+ Q

        $this->savename = $savename; $ M: q. Z- K/ P3 q7 q k4 T. g: K) q" T1 a

: d, z% H+ | D1 x8 d5 g% J' V

    }} - a6 S C: s8 ? O7 F$ z2 q

3 ?# N5 Y& B" [, R2 u% F/ g- H 这里通过foreach($_file as $file)来遍历初始化各项参数。而savepath、savename则是通过__construct($_file, $savepath, $savename = '', $fileformat = '')直接传入参数指定。

6 ~9 a, F5 {6 e0 |% r0 \

9 X- ^1 ?2 Q: e' H% P0 _8 h+ v 因此考虑上传了两个文件，第一个文件名是1.php，第二个文件是1.jpg，只要构造合理的表单上传（参考：https://www.cnblogs.com/DeanChopper/p/4673577.html），则在avatar.inc.php中 , ~' u( T# J1 H( N0 [! r. m" [

8 n. ~2 Y6 }3 _; R7 q; s$ ~ O* X

8 k: I( \& g4 m0 p' n $ext = file_ext($_FILES['file']['name']); // `$ext`即为`php` $name = 'avatar'.$_userid.'.'.$ext; // $name 为 'avatar'.$_userid.'.'php'$file = DT_ROOT.'/file/temp/'.$name; // $file 即为 xx/xx/xx/xx.php

0 T, g$ B$ h- X( C* i& S

而在upload类中，由于多个文件上传，$this->file、$this->file_name、$this->file_type将foreach在第二次循环中被置为jpg文件。测试如下：

1 A" c7 D" F2 Y1 n6 h6 ]) S

  9 ?+ C; G" |0 I+ J! t2 q

8 [& R7 S" L @! ? 回到avatar.inc.php，当进行文件保存时调用$upload->save()，include/upload.class.php:50:

+ K. p' e7 o) y' i <?phpclass upload { * w( j/ c) R) j0 i8 x4 r w5 K% l. M

: d7 p7 z1 \1 a2 B p8 m     function save() {

- Q8 E0 k- i* Y5 F4 _+ b. U! x5 q         include load('include.lang');

        if($this->file_error) return $this->_('Error(21)'.$L['upload_failed'].' ('.$L['upload_error_'.$this->file_error].')');

! k9 u! i) t, h9 y# H4 l   2 n: H h% Z4 ^ O

        if($this->maxsize > 0 && $this->file_size > $this->maxsize) return $this->_('Error(22)'.$L['upload_size_limit'].' ('.intval($this->maxsize/1024).'Kb)');

9 Z6 V4 V8 Y7 a

7 K, g5 m6 Q* C/ l' \( u  

, N% I& P' a# w( Y, B3 m. s

        if(!$this->is_allow()) return $this->_('Error(23)'.$L['upload_not_allow']); ! b. K+ b9 z6 L- Z

# t& I; J# }/ n& j$ v   ! X" l `; h# M6 x

2 K }7 S9 R, z! G# ~7 d: a) }

        $this->set_savepath($this->savepath); . f- z1 O; K# S( m+ h4 V& Z

        $this->set_savename($this->savename);

) N7 W& |/ I% y4 s+ ^: R6 o0 H

 

4 B& f# I( m! i9 j/ x! U! M

4 N7 @6 _/ Y6 q% h) ^* M         if(!is_writable(DT_ROOT.'/'.$this->savepath)) return $this->_('Error(24)'.$L['upload_unwritable']);

6 j- E) J4 L M8 N9 f# ^/ `% ?# Y         if(!is_uploaded_file($this->file)) return $this->_('Error(25)'.$L['upload_failed']);

3 [! t% C+ w5 k6 D* h1 e

        if(!move_uploaded_file($this->file, DT_ROOT.'/'.$this->saveto)) return $this->_('Error(26)'.$L['upload_failed']); 5 }4 m" L; [, A+ [5 [2 ?

 

8 q+ G6 p2 @4 G& G3 _& Z/ c

        $this->image = $this->is_image();

$ M4 s; B# c# R$ s) [& Z         if(DT_CHMOD) @chmod(DT_ROOT.'/'.$this->saveto, DT_CHMOD); 8 L, S" u& a) d: Z' _4 V" k5 |% ?* T! B

[! b0 P3 v' _' n6 V

! j$ v2 B% c" C7 i8 t         return true;

# ~; n3 `8 x. u0 C" m9 y$ t

    }} 9 b0 p1 o3 ^1 K) R6 P+ F8 B

先经过几个基本参数的检查，然后调用$this->is_allow()来进行安全检查 include/upload.class.php:72：

0 a, l+ Y9 q$ s l/ r. U$ {: B <?php

$ u% }/ |2 _) F% D& |     function is_allow() { / w$ k* _5 v! U3 G7 P8 Y @

1 s) x/ ^, N8 Z1 s* J

3 G I2 n# c* ~; C& q ?: X         if(!$this->fileformat) return false;

+ s# B5 [- \ H, s& x$ J

        if(!preg_match("/^(".$this->fileformat.")$/i", $this->ext)) return false; 1 A* T q6 h/ L3 i9 s/ f: @% ~

7 d% v8 [. `. X# A         if(preg_match("/^(php|phtml|php3|php4|jsp|exe|dll|cer|shtml|shtm|asp|asa|aspx|asax|ashx|cgi|fcgi|pl)$/i", $this->ext)) return false;

        return true; k1 C2 `: V& N# s

6 O1 B# ]+ ~! @     } ( ]2 J+ N9 h, C! g% B$ X

可以看到这里仅仅对$this->ext进行了检查，如前此时$this->ext为jpg，检查通过。

- g; n2 \/ k) m: |

接着会进行真正的保存。通过$this->set_savepath($this->savepath); $this->set_savename($this->savename);设置了$this->saveto，然后通过move_uploaded_file($this->file, DT_ROOT.'/'.$this->saveto)将file保存到$this->saveto ，注意此时的savepath、savename、saveto均以php为后缀，而$this->file实际指的是第二个jpg文件。 3 S% |% Y0 ?+ N6 ?) r& v* Y8 f

+ N6 f! C$ l N

4 r' V% \) j2 i- V9 C T6 L 漏洞利用

; T P/ n4 R; f4 m( H 综上，上传两个文件，其中第一个文件以php为结尾如1.php，用于设置后缀名为php；第二个文件为1.jpg，jpg用于绕过检测，其内容为php一句话木马(图片马)。

0 s6 B. W: ~8 c5 h6 c y+ X

  E9 k8 T/ f3 O8 l; V+ f

# R3 |( Y! j+ x5 ^% z 然后访问http://127.0.0.1/file/temp/avatar1.php 即可。其中1是自己的_userid ' M K( _/ [! ?3 T

; ~9 @3 c3 ]& c |2 p4 { X) q

" i" ]" x% W+ Y; ^6 {8 H1 g 不过实际利用上会有一定的限制。 9 n) G" s& H: _: h1 s: L& c

+ K# _* h- o+ i" K) n) b

第一点是destoon使用了伪静态规则，限制了file目录下php文件的执行。

/ [4 o5 m/ `) G% M2 a   ( r& B4 m7 W+ V& E6 O

5 i) g6 g( r4 ~7 T. _5 F 第二点是avatar.inc.php中在$upload->save()后，会再次对文件进行检查，然后重命名为xx.jpg： ) F z& x; Z7 E. S8 L

7 y5 s( z% x1 I0 Z. A* c

省略...$img = array();$img[1] = $dir.'.jpg';$img[2] = $dir.'x48.jpg';$img[3] = $dir.'x20.jpg';$md5 = md5($_username);$dir = DT_ROOT.'/file/avatar/'.substr($md5, 0, 2).'/'.substr($md5, 2, 2).'/_'.$_username;$img[4] = $dir.'.jpg';$img[5] = $dir.'x48.jpg';$img[6] = $dir.'x20.jpg';file_copy($file, $img[1]);file_copy($file, $img[4]);省略... 5 g2 J' g/ P3 n& [9 d# p: [

因此要利用成功就需要条件竞争了。

y6 X3 e2 \! V4 }% b9 e' F$ B7 E

补丁分析 o3 ?2 i. z5 v/ h6 }

  / n7 L6 w- T' B9 H0 w: h5 e

0 S* x1 r$ ~- b7 u' |7 V% z9 T( z

& j7 X; I2 }1 L ]6 F1 d& s 在upload的一开始，就进行一次后缀名的检查。其中is_image如下： & I6 Z, x7 `& }2 U

3 W9 K6 q$ V( W. o, `5 e function is_image($file) {    return preg_match("/^(jpg|jpeg|gif|png|bmp)$/i", file_ext($file));} " x. ^5 a* n# q# Y# V

9 w3 q. U* M1 \! W; J

 

在__construct()的foreach中使用了break，获取了第一个文件后就跳出循环。

6 J j' @% d& |/ G6 X3 c. I. H% x

在is_allow()中增加对$this->savename的二次检查。 - M2 F. h5 T, S, F, _. m. w) l

# `$ d9 M8 N# s. ?# c 最后

4 b. r A( l: b- [) w

嘛，祝各位大师傅中秋快乐！

2 @4 U" }+ t9 s* i8 f3 z

  - z9 x( j1 A, o* n' l