Destoon cms前台getwebshell

admin

) u; I- L2 j( b5 t) B9 @

( \1 V1 ^/ ^9 W. k/ S; t7 f+ _* [! k- p 前言 + j6 T% X- P/ D- J

: z2 X" l$ a ^# A9 v! g2 Z# u" T

# w2 `( s( j" W: u3 e, e0 w1 d 2018年9月21日，Destoon官方发布安全更新，修复了由用户“索马里的海贼”反馈的一个漏洞。

  7 c& V9 S7 C+ j1 {, S/ G9 d

$ g/ [$ Q6 e: X 漏洞分析

+ }# r. k1 c% k& p

& j; Z& v& T' ]$ b0 T 根据更新消息可知漏洞发生在头像上传处。Destoon中处理头像上传的是 module/member/avatar.inc.php 文件。在会员中心处上传头像时抓包，部分内容如下：

( V) ^8 ~! a; Y! w ~0 y   , T( `5 f$ A' n8 f

对应着avatar.inc.php代码如下：

" r# Y! o, H# z1 ^$ p

<?php defined('IN_DESTOON') or exit('Access Denied');login();require DT_ROOT.'/module/'.$module.'/common.inc.php';require DT_ROOT.'/include/post.func.php';$avatar = useravatar($_userid, 'large', 0, 2);switch($action) { : O& M$ T# K7 [) f, s9 U: U

    case 'upload': : J& Y7 J2 D5 ?7 q* p+ \( Q+ b' l

        if(!$_FILES['file']['size']) { / Y; L4 E0 F* Z

6 [: W5 f( t8 `. L

            if($DT_PC) dheader('?action=html&reload='.$DT_TIME); $ z9 ~8 `, i' g) L

. o7 C7 J' Q& _( c" e9 B

            exit('{"error":1,"message":"Error FILE"}');

3 j) s% B3 y& ~3 n4 M, L# @0 V# N" f

        } z0 T- ~- }, }8 Z' F V

( L0 Z& y% I& {* t0 s4 S$ z

        require DT_ROOT.'/include/upload.class.php';

_+ V) V# s- W# F, Q! {

, y8 t" p* q+ E+ D7 \+ {: U  

4 S0 \; Y* I: k         $ext = file_ext($_FILES['file']['name']);

$ ~- Y( b" W: a% D

        $name = 'avatar'.$_userid.'.'.$ext; , b, r# M! K4 z; E, x6 i$ y$ m# i4 q" m

: }! R) g9 n+ c F

        $file = DT_ROOT.'/file/temp/'.$name; - u ?9 V# d! q

6 z' y2 Y4 l& M. Z  

5 P! D% P e; N+ o( N         if(is_file($file)) file_del($file); ; a( s$ q9 v& V6 j

" @5 c( _4 s# }* F$ d. i

        $upload = new upload($_FILES, 'file/temp/', $name, 'jpg|jpeg|gif|png'); 3 d8 r$ z: k, G" D, T

1 E+ ]! Z. w# O

. w+ w+ i2 J( T; z/ Y6 d1 Y' E  

) I% z3 J& @0 }/ M

        $upload->adduserid = false;

) Y0 Y1 y+ h5 b$ m

  7 ~; O( O# R. M; s7 {1 ]8 [9 q

2 D* r/ Q1 g5 I6 ~. |7 E

9 P# m8 u" e. S, {5 y0 o         if($upload->save()) { * M! j0 U: S% o! \' b; S& m7 G

z$ ~& M: ]; V5 i1 ^% J; d2 [             ... ; h2 U! C% u- G

; o# | F& n8 [* @4 [7 O/ k0 Q

        } else { F! k; ?# T: T4 {) B: H

' z/ k0 W3 c5 P: G) t8 c1 P

/ P- Z4 |1 H2 L) P             ...

- W- k- P! O7 B: i

' q& u; I6 j; y1 b% y! l$ d         } + M5 c3 K1 ~8 l; P! B" y

% M) E2 K8 ` b) H& q

, B2 b" [6 Z7 k5 U     break; $ _# u. D4 O9 a$ y

0 B4 w5 F2 m9 Q) K2 ]" s @9 g" C$ | 这里通过$_FILES['file']依次获取了上传文件扩展名$ext、保存临时文件名$name、保存临时文件完整路径$file变量。之后通过new upload();创立一个upload对象，等到$upload->save()时再将文件真正写入。 ) h/ c* ?+ V. c; F$ H7 r

upload对象构造函数如下，include/upload.class.php:25：

. v) E& K) s4 b <?phpclass upload {

    function __construct($_file, $savepath, $savename = '', $fileformat = '') { : h' e/ p. m p$ m9 z, N* Z

% x; F. _. s/ H

        global $DT, $_userid;

* _; W1 w' s) X/ }, V' U* j+ z7 Z         foreach($_file as $file) {

" F) `0 [* U9 v$ B' n

k c0 o7 G1 o: K$ u0 M: C             $this->file = $file['tmp_name'];

            $this->file_name = $file['name'];

* Q! [6 i9 H% @) M A! b& w             $this->file_size = $file['size'];

- A5 y) N4 _; O/ B5 H5 d, p

+ M% y# j, O* d5 }) d             $this->file_type = $file['type']; , E& C8 y8 R; B" G5 j

: ?+ K' T% O1 n             $this->file_error = $file['error'];

3 D6 x; i6 P+ L

 

        } ' K6 A3 S& N5 M7 A+ K

+ Y- W7 {: R I9 k( _3 k, G

7 k# O I' y3 n& P$ z# V, O- x         $this->userid = $_userid;

0 }# A/ @7 c1 Z& e1 m5 }% X1 a; R+ Y

; p+ e: p) L0 W         $this->ext = file_ext($this->file_name);

# p9 d1 i2 @ e3 o2 G

8 p. r+ c. c& D; L         $this->fileformat = $fileformat ? $fileformat : $DT['uploadtype']; 4 |6 H5 K* D- \) O0 h5 F3 F

2 f1 c2 Y: k: |( i; Y$ e* e

        $this->maxsize = $DT['uploadsize'] ? $DT['uploadsize']*1024 : 2048*1024;

+ |1 Q! n8 N- v: X

2 U' m* D$ z8 H \, y         $this->savepath = $savepath;

$ b: x8 N- _0 b" n; d

. F! k# w. A( M7 `# g         $this->savename = $savename; / g/ \& u! l; l

6 {: [: H6 r& y! n0 \/ u2 p

    }} 8 z, ~" a) W8 T- m

/ q* e5 r$ f" W+ q# t+ ?, Q0 b! c 这里通过foreach($_file as $file)来遍历初始化各项参数。而savepath、savename则是通过__construct($_file, $savepath, $savename = '', $fileformat = '')直接传入参数指定。

+ A* t4 d3 r$ G) R/ M5 l 因此考虑上传了两个文件，第一个文件名是1.php，第二个文件是1.jpg，只要构造合理的表单上传（参考：https://www.cnblogs.com/DeanChopper/p/4673577.html），则在avatar.inc.php中 4 l" B% I, A) f' C2 c2 I( Q

. f$ e4 ?$ H! q! U$ m

$ext = file_ext($_FILES['file']['name']); // `$ext`即为`php` $name = 'avatar'.$_userid.'.'.$ext; // $name 为 'avatar'.$_userid.'.'php'$file = DT_ROOT.'/file/temp/'.$name; // $file 即为 xx/xx/xx/xx.php

( O2 \7 y3 y7 j4 D

2 B: j, Z2 }% H# v* C 而在upload类中，由于多个文件上传，$this->file、$this->file_name、$this->file_type将foreach在第二次循环中被置为jpg文件。测试如下： % p2 i7 h* f- A9 p# Y; k1 @) s+ h

  * Z: R4 j3 [5 _: k4 Y

9 }, W6 x6 i v5 n

回到avatar.inc.php，当进行文件保存时调用$upload->save()，include/upload.class.php:50: ) U2 M( L' m, ^2 T, c0 s/ C6 t7 ^

/ S2 w6 ^9 {3 ^0 o* Q8 @ <?phpclass upload { ( @; S% p$ J8 ^! W( \' h

    function save() { r( k. H5 M3 H# E: }: s+ s

! v0 r' o) U+ \ r

9 }) O2 O) d3 J) @         include load('include.lang'); 5 V$ w& w9 c1 n8 E: r# Q- r+ q

& w* S7 a5 [8 t8 Q" b) {" M- n' v         if($this->file_error) return $this->_('Error(21)'.$L['upload_failed'].' ('.$L['upload_error_'.$this->file_error].')'); $ J, W2 [9 j! N' h8 e2 s

. Y( N. v9 C& E3 ^

 

        if($this->maxsize > 0 && $this->file_size > $this->maxsize) return $this->_('Error(22)'.$L['upload_size_limit'].' ('.intval($this->maxsize/1024).'Kb)'); 9 Q8 Y+ @0 k7 J2 U5 W

/ }; N/ D% k* }5 J$ N$ g7 d/ U

  : v) W/ } Y) J

2 {, F2 y1 R9 Y2 w: X         if(!$this->is_allow()) return $this->_('Error(23)'.$L['upload_not_allow']);

 

        $this->set_savepath($this->savepath);

& f# K* ^' ]7 D' H

. V# _ T2 \, w# x8 ^9 X- I         $this->set_savename($this->savename);

6 s3 J# a$ Q0 x$ P |8 p   & x) ~; Z/ ^; n6 x) P# u

3 G- _- v* @6 u/ B- Y         if(!is_writable(DT_ROOT.'/'.$this->savepath)) return $this->_('Error(24)'.$L['upload_unwritable']);

- o6 U7 Z3 E1 E0 z9 x

' T7 z- F0 A* I7 |8 p( V         if(!is_uploaded_file($this->file)) return $this->_('Error(25)'.$L['upload_failed']); . F1 q6 ~3 l; J/ C5 a

! B, d5 S. B* Y6 c( s% d9 S1 L- p3 i

        if(!move_uploaded_file($this->file, DT_ROOT.'/'.$this->saveto)) return $this->_('Error(26)'.$L['upload_failed']); * f; C5 s! j' ^- V2 |$ g, _

9 }( [" B8 n7 M: l. q2 u; h& ^

  ) r1 K# |) Q/ W+ X

/ O, _- Q9 l; C5 i$ x. v

6 u0 K) E0 X6 E         $this->image = $this->is_image();

% M7 z$ T9 J) T

& E4 A" U: u0 e& ^         if(DT_CHMOD) @chmod(DT_ROOT.'/'.$this->saveto, DT_CHMOD);

1 I# X4 g: F7 h! v

. \% R! A9 q1 f D' [" y         return true;

    }} 8 q7 V# C3 H/ E

1 m4 Z& v( y4 i2 k! Z% z7 ?

6 {: u+ ]3 U$ {5 S 先经过几个基本参数的检查，然后调用$this->is_allow()来进行安全检查 include/upload.class.php:72： ' n* m3 ]3 p9 P* T7 f* p0 r }) o

- {8 ^! J& e. C% _

<?php

, @/ u# Y. Z0 y

" E& S2 x+ ~' H$ [7 H& p( L& h     function is_allow() {

3 d ?0 U, Z6 ?4 P! Z

( e v/ |3 I8 j8 M/ J$ m+ A         if(!$this->fileformat) return false;

2 |# i% \. l! B5 z. q$ _. }         if(!preg_match("/^(".$this->fileformat.")$/i", $this->ext)) return false;

( Y( b) F: l; n& H1 p3 a

        if(preg_match("/^(php|phtml|php3|php4|jsp|exe|dll|cer|shtml|shtm|asp|asa|aspx|asax|ashx|cgi|fcgi|pl)$/i", $this->ext)) return false;

        return true;

    }

3 U7 V, y* M0 _& D

% K0 A+ V5 N, \; x" \6 |6 O 可以看到这里仅仅对$this->ext进行了检查，如前此时$this->ext为jpg，检查通过。

4 \3 v3 g1 z7 t% r

0 s7 t4 q7 D4 d) c& x( _4 S* l( g 接着会进行真正的保存。通过$this->set_savepath($this->savepath); $this->set_savename($this->savename);设置了$this->saveto，然后通过move_uploaded_file($this->file, DT_ROOT.'/'.$this->saveto)将file保存到$this->saveto ，注意此时的savepath、savename、saveto均以php为后缀，而$this->file实际指的是第二个jpg文件。

7 k- R: @# P1 m( M. l3 G$ `9 K5 I

漏洞利用

综上，上传两个文件，其中第一个文件以php为结尾如1.php，用于设置后缀名为php；第二个文件为1.jpg，jpg用于绕过检测，其内容为php一句话木马(图片马)。 1 a7 J) _! }. f# t- O. g

( i6 C/ V. [7 {# e: Z  

6 P0 S# A6 y* D9 U. o$ e

: e: @: g9 G$ O8 U; C 然后访问http://127.0.0.1/file/temp/avatar1.php 即可。其中1是自己的_userid / K; p; P, f( a& O8 ?" p

8 z1 G5 _* b" P( | 不过实际利用上会有一定的限制。

第一点是destoon使用了伪静态规则，限制了file目录下php文件的执行。 + x0 r4 v v7 _* u. O

& C6 ?- X" g% m' _

- I1 \, f# a' i' z7 U   - ?# f1 w" v! |* b. @8 @# Q5 Y

$ @0 C/ @: j* |

第二点是avatar.inc.php中在$upload->save()后，会再次对文件进行检查，然后重命名为xx.jpg：

省略...$img = array();$img[1] = $dir.'.jpg';$img[2] = $dir.'x48.jpg';$img[3] = $dir.'x20.jpg';$md5 = md5($_username);$dir = DT_ROOT.'/file/avatar/'.substr($md5, 0, 2).'/'.substr($md5, 2, 2).'/_'.$_username;$img[4] = $dir.'.jpg';$img[5] = $dir.'x48.jpg';$img[6] = $dir.'x20.jpg';file_copy($file, $img[1]);file_copy($file, $img[4]);省略...

M) v$ ]: P8 \ V( e, [

* q2 O) d2 {$ y 因此要利用成功就需要条件竞争了。 9 L0 N3 w+ ]' r/ g G

, N7 l+ X) L% x) F e$ B

补丁分析 " X0 H& b4 _! y

 

) @+ A- b: u0 Q/ T% H 在upload的一开始，就进行一次后缀名的检查。其中is_image如下： G4 A8 Y; O0 }# B

1 }- e; Z9 x, t4 [5 Z8 i function is_image($file) {    return preg_match("/^(jpg|jpeg|gif|png|bmp)$/i", file_ext($file));}

' ^% y, M) v) [4 i, u  

" |: {/ h" Q/ u. u5 z1 s6 t 在__construct()的foreach中使用了break，获取了第一个文件后就跳出循环。 + j- ~7 w6 l6 z& |; c

0 q/ a5 s ]: \7 i

9 r9 ~7 M" c# ^! n( ?3 N; z 在is_allow()中增加对$this->savename的二次检查。 - j5 Q& \6 f0 ^8 y7 c: {! n

最后

) U7 ]' l, ?, D. a/ R8 ~ T5 v: w6 ` 嘛，祝各位大师傅中秋快乐！

6 K5 w6 j+ d) [3 d( |# f) {/ j