Destoon cms前台getwebshell

admin

前言 " ~8 p' a: y% `' G1 k3 O4 H+ [

1 o5 T, B! g2 O3 w# q5 A 2018年9月21日，Destoon官方发布安全更新，修复了由用户“索马里的海贼”反馈的一个漏洞。

' ~* @. {; G$ n; Y- q2 ~

  . x: S+ ~) [8 [6 x

漏洞分析 6 y3 S( u" Y/ h1 c% r5 S- Z

' P( b1 {, \' ]1 G6 y1 Z 根据更新消息可知漏洞发生在头像上传处。Destoon中处理头像上传的是 module/member/avatar.inc.php 文件。在会员中心处上传头像时抓包，部分内容如下： ( l3 Y8 i5 {8 M* M& W

' v5 g: J) q) [/ O3 P2 q3 c

 

- J, v! ~. u; ?6 v+ s

" u9 `% {$ R1 K* I; U% o 对应着avatar.inc.php代码如下：

<?php defined('IN_DESTOON') or exit('Access Denied');login();require DT_ROOT.'/module/'.$module.'/common.inc.php';require DT_ROOT.'/include/post.func.php';$avatar = useravatar($_userid, 'large', 0, 2);switch($action) {

4 w8 J' m; F3 \. \

    case 'upload': : ^ ^' a. }& h9 M4 j

- K0 C4 e1 |" E' Y8 q& O

, o) c1 T! {: u6 s4 i/ \6 E         if(!$_FILES['file']['size']) {

4 I2 E" K- G! P" k4 C Z5 g( s

            if($DT_PC) dheader('?action=html&reload='.$DT_TIME); ! y6 R( x! K: l5 Q3 q2 V# R

! c- N$ Q& O8 W1 \2 G+ t; A; c$ P" ~3 y

            exit('{"error":1,"message":"Error FILE"}');

        } 5 P/ ^! J* z( t8 g/ M$ Q7 }: H% v

' }& {& P8 U+ P* R* z3 G" a

        require DT_ROOT.'/include/upload.class.php';

$ m% R3 L- D- P/ |6 Z* E1 b( y; x

  " w# h- [7 m" P& h

# Z6 \7 W; N5 V4 @7 a9 J7 T

( ~% g# L# g5 [3 j0 ~0 p7 q/ l* O) f         $ext = file_ext($_FILES['file']['name']);

        $name = 'avatar'.$_userid.'.'.$ext; 1 {7 M& _7 r, K' i6 ]& F

        $file = DT_ROOT.'/file/temp/'.$name; 9 i2 v6 m! F5 I9 G' {& G

  ! b# z$ C- _- u9 H- o

w' U0 ?- R0 u4 V         if(is_file($file)) file_del($file); 7 Z% ?$ F; d) \" e/ \

) k6 R" D' o3 i% H         $upload = new upload($_FILES, 'file/temp/', $name, 'jpg|jpeg|gif|png'); Q3 t8 k8 p6 ^2 p f

 

& e/ E( Z, e& e         $upload->adduserid = false; 9 G% t# E* z9 b ^; i& T$ d" U. j$ p

  1 S! g Z( O1 ?# l6 o- q0 f

/ D/ B; S8 }$ R% I6 p         if($upload->save()) {

            ... # z: U; t' G+ R e% R F

* c! a, M7 ?) Q! G( a

        } else {

^ @7 r8 F! {2 f3 s. B8 A

            ... / ~/ f4 j. k G x1 w

        } ; l, d7 v+ d9 v( A: J, s6 B9 B

& Z8 K* [4 d- i1 U; A

( x% A! Q' N" ~# B1 x" m; @     break; / p0 W0 \4 I4 ] w; s

这里通过$_FILES['file']依次获取了上传文件扩展名$ext、保存临时文件名$name、保存临时文件完整路径$file变量。之后通过new upload();创立一个upload对象，等到$upload->save()时再将文件真正写入。 5 m4 R* x2 u3 N) R* {2 N$ f

* z3 m% [# `- n* `7 R

6 J7 z+ A/ o) \- r0 r5 S. I upload对象构造函数如下，include/upload.class.php:25：

6 X, A- P* a( r' v" h; R

<?phpclass upload { ' o- d8 |* \$ E5 x S* [; V3 H

9 P M" P% u8 f- b" A

& m3 C0 F7 y/ e3 a& M# c. h     function __construct($_file, $savepath, $savename = '', $fileformat = '') { 3 Y v" z5 r* O% m8 s

8 p: Z6 Q9 f7 U# B/ l% S

        global $DT, $_userid; + c7 w, {$ v% z$ `: g2 H2 @

        foreach($_file as $file) { % l& u* u T; i6 B

' d7 w2 I, {6 v2 o. c             $this->file = $file['tmp_name']; ! z0 v ?& _0 j3 v; C4 F, ?

4 ~- O2 P# y7 S$ |8 Y+ I: X             $this->file_name = $file['name'];

) a9 P* V9 ^! c

7 S* o9 a* l1 R- {/ P             $this->file_size = $file['size'];

            $this->file_type = $file['type'];

% a) @1 Z+ B; p. y K! H8 X- E             $this->file_error = $file['error']; + O ^0 R+ ~! U+ z8 \$ g; E8 {) [

) j! M7 H0 X( F3 Q- ^% @   : X6 B9 @ y/ ~+ O$ y8 f6 V

        }

! L$ V7 g& k D# ^* D8 ~8 D         $this->userid = $_userid; 4 ^: } L& w1 g0 x, r

; l9 D0 @/ f+ o# ~9 C! ^' ~; g

        $this->ext = file_ext($this->file_name); U. u2 P* P0 G \

        $this->fileformat = $fileformat ? $fileformat : $DT['uploadtype']; ' x5 w+ w; V0 G4 F' p( u7 A

$ H! Y2 E$ L4 Q6 s, s; H$ i         $this->maxsize = $DT['uploadsize'] ? $DT['uploadsize']*1024 : 2048*1024;

        $this->savepath = $savepath; % `1 h' @; g# b+ l

* ]; P9 C$ m+ H8 s, e4 p, v         $this->savename = $savename; 6 I* n' q. p4 E9 |/ K; e

/ q0 [4 Q% h. |- B4 I1 `' ~     }} 3 s, j7 Z# z% s, B) R, F. m: h

2 \7 M' r9 v/ A5 p 这里通过foreach($_file as $file)来遍历初始化各项参数。而savepath、savename则是通过__construct($_file, $savepath, $savename = '', $fileformat = '')直接传入参数指定。 - c/ E) e& W7 B7 x3 v& P- N

+ A, k l" _0 ?8 y# @ 因此考虑上传了两个文件，第一个文件名是1.php，第二个文件是1.jpg，只要构造合理的表单上传（参考：https://www.cnblogs.com/DeanChopper/p/4673577.html），则在avatar.inc.php中 3 t) c: g4 j4 j4 u0 h

$ext = file_ext($_FILES['file']['name']); // `$ext`即为`php` $name = 'avatar'.$_userid.'.'.$ext; // $name 为 'avatar'.$_userid.'.'php'$file = DT_ROOT.'/file/temp/'.$name; // $file 即为 xx/xx/xx/xx.php & b% \, a4 r$ |3 F5 r

1 k1 e* T# Q/ t) w3 a

而在upload类中，由于多个文件上传，$this->file、$this->file_name、$this->file_type将foreach在第二次循环中被置为jpg文件。测试如下：

/ n6 E3 _* Z% g* `

% T l9 j6 w% c  

, S, `% @- Y" p$ |+ Q

% j. d" y5 x: Q: Q% A& P' e& j- o0 r 回到avatar.inc.php，当进行文件保存时调用$upload->save()，include/upload.class.php:50:

) l+ ]5 q8 S% F- G" p* F

<?phpclass upload {

6 c0 @6 G, `: l8 k7 V     function save() {

3 A" V4 V& g Y$ P

        include load('include.lang'); ( N% W+ M/ ^" G, c

- e+ V/ f3 L3 [: ]4 U

) K s* }* I) P         if($this->file_error) return $this->_('Error(21)'.$L['upload_failed'].' ('.$L['upload_error_'.$this->file_error].')');

  4 _3 O; ?) |3 a J. ^

7 V+ { L6 Q" j# u( j4 k. V

        if($this->maxsize > 0 && $this->file_size > $this->maxsize) return $this->_('Error(22)'.$L['upload_size_limit'].' ('.intval($this->maxsize/1024).'Kb)'); 5 p; R0 C# `/ O( A' n

; n! Y: |" A [- l( n  

- H8 W' U7 f, R+ M/ D

        if(!$this->is_allow()) return $this->_('Error(23)'.$L['upload_not_allow']);

- l, X7 p& m, _, c$ e6 m# X/ j

6 }! @( H8 Y* K" s8 P  

! D& N7 o! L, q6 S; h

        $this->set_savepath($this->savepath); , Q' k0 Y) S0 k: l( ^) L" S2 C" p

( u" d) V6 ], U& P! g$ U

        $this->set_savename($this->savename);

2 D! O+ n! \& }+ W" P9 E y6 ^  

. M2 L( S* g9 q

+ @4 ]4 h; p5 Z         if(!is_writable(DT_ROOT.'/'.$this->savepath)) return $this->_('Error(24)'.$L['upload_unwritable']); / p" V f5 Q5 ] L* H

        if(!is_uploaded_file($this->file)) return $this->_('Error(25)'.$L['upload_failed']);

* @0 [3 r& m8 `, x" j9 _

4 j5 H6 m/ \, `* f) p. i0 E         if(!move_uploaded_file($this->file, DT_ROOT.'/'.$this->saveto)) return $this->_('Error(26)'.$L['upload_failed']);

, u2 D- L, s# U4 y2 a3 h( b6 D1 G

  7 r$ K: I! c* p4 E

7 y1 h+ O! u u5 Z4 Z! A+ |. O

& c) k$ f/ J* v T2 N         $this->image = $this->is_image();

        if(DT_CHMOD) @chmod(DT_ROOT.'/'.$this->saveto, DT_CHMOD); ! ?8 r! @7 t; k1 Y. T2 W

( o ^: [ o9 _4 P; ^* c7 F

        return true;

* x9 H( n7 E' U! m/ w+ u     }} ; ` }. H# J. K3 {- ?3 A

先经过几个基本参数的检查，然后调用$this->is_allow()来进行安全检查 include/upload.class.php:72： * P8 Q- h5 m% U. S* U0 R/ U

: f" |9 _/ c2 w, ? `$ w9 u <?php

- d2 [, G1 L% m; s, u

' _7 Z" R; H0 {- E/ o- C8 A     function is_allow() { , K3 |" f: m2 a8 z4 M" ?0 N

) p# K" p! x" ?6 q

        if(!$this->fileformat) return false;

        if(!preg_match("/^(".$this->fileformat.")$/i", $this->ext)) return false;

, u1 w% V! B% H0 I) g( |         if(preg_match("/^(php|phtml|php3|php4|jsp|exe|dll|cer|shtml|shtm|asp|asa|aspx|asax|ashx|cgi|fcgi|pl)$/i", $this->ext)) return false;

7 J9 z/ Q. Q8 U$ t

        return true; - U, J3 A m+ C# _

. e% x& a. o, J! C8 r' w3 l     }

3 M6 j+ @- x+ E

/ ]" I. p+ Z5 a$ m& z, d 可以看到这里仅仅对$this->ext进行了检查，如前此时$this->ext为jpg，检查通过。

$ i4 T$ r4 H8 f( X1 e3 l' X 接着会进行真正的保存。通过$this->set_savepath($this->savepath); $this->set_savename($this->savename);设置了$this->saveto，然后通过move_uploaded_file($this->file, DT_ROOT.'/'.$this->saveto)将file保存到$this->saveto ，注意此时的savepath、savename、saveto均以php为后缀，而$this->file实际指的是第二个jpg文件。 * T5 @6 F5 f& I

' Y3 H- C0 l r7 i

; {2 o: g, t! t+ x 漏洞利用

$ f6 l9 i- N, Y% \% g; H

综上，上传两个文件，其中第一个文件以php为结尾如1.php，用于设置后缀名为php；第二个文件为1.jpg，jpg用于绕过检测，其内容为php一句话木马(图片马)。 . [& b ]$ z: W1 B1 s5 n

# U6 d# A: m( f& J5 e

, ?: ~3 L) I! a4 j9 o: H9 L6 ^   3 r8 Q7 o- a7 v5 S" l* d8 O1 @1 a

7 P) i' j6 c1 @/ D2 |: b* {

然后访问http://127.0.0.1/file/temp/avatar1.php 即可。其中1是自己的_userid

) W, n- B: ?. m+ ~: ]$ h 不过实际利用上会有一定的限制。 $ F* e7 ^6 H2 z# x4 L! ~

, W9 O; m1 b2 ] 第一点是destoon使用了伪静态规则，限制了file目录下php文件的执行。

. g! A& H: j( }   9 I! m' q M3 Q$ Z: u2 {

第二点是avatar.inc.php中在$upload->save()后，会再次对文件进行检查，然后重命名为xx.jpg：

; L0 t, a7 y5 Z; H' N2 a. a" o7 D 省略...$img = array();$img[1] = $dir.'.jpg';$img[2] = $dir.'x48.jpg';$img[3] = $dir.'x20.jpg';$md5 = md5($_username);$dir = DT_ROOT.'/file/avatar/'.substr($md5, 0, 2).'/'.substr($md5, 2, 2).'/_'.$_username;$img[4] = $dir.'.jpg';$img[5] = $dir.'x48.jpg';$img[6] = $dir.'x20.jpg';file_copy($file, $img[1]);file_copy($file, $img[4]);省略...

因此要利用成功就需要条件竞争了。 , J) u& ]- {. T8 ^$ d+ [/ q+ N

5 d1 w `/ E. [* g z1 E9 i" h4 E

" @& n/ O3 i U- L2 b C7 P 补丁分析

, B0 @( R3 u9 A" \   * e6 O6 R9 h. G% p

在upload的一开始，就进行一次后缀名的检查。其中is_image如下： 7 l4 G' E3 ~7 [4 d+ ~

7 u! x/ x7 v& }# c. {

function is_image($file) {    return preg_match("/^(jpg|jpeg|gif|png|bmp)$/i", file_ext($file));}

0 J1 B$ o; S& {0 n3 T' O

7 s* v/ d/ m$ H   0 N [$ b8 L5 h2 J5 A

* e4 s7 i- N/ w. s( y

$ z* I( O8 X2 ?* e! F# s3 B 在__construct()的foreach中使用了break，获取了第一个文件后就跳出循环。 8 c: B1 R2 J/ o7 \4 _* S7 `7 o* x( r

: b( \7 A( C' m4 o' k& Y

在is_allow()中增加对$this->savename的二次检查。

3 H4 `/ E; S& {: P/ P, l# z8 Z 最后

嘛，祝各位大师傅中秋快乐！ 7 Y/ k. Y9 ?7 ]0 }

 

* g8 E ]- M3 W* O