Destoon cms前台getwebshell

admin

7 W3 B, u* S5 x! i

" J O/ I# g: s2 R7 I ~* b7 ]' l2 O5 ? 前言

1 w# T* r+ Z; a

2018年9月21日，Destoon官方发布安全更新，修复了由用户“索马里的海贼”反馈的一个漏洞。 4 W4 w" ^, N$ B

3 ^" E7 w7 f4 E, v% ~5 Y$ Q

7 R& H/ f0 o# V6 h6 V4 M+ M; R# Q   0 X8 D* p' Q5 b

# z; i! C* M- c% M- R% V

漏洞分析

根据更新消息可知漏洞发生在头像上传处。Destoon中处理头像上传的是 module/member/avatar.inc.php 文件。在会员中心处上传头像时抓包，部分内容如下： & s2 \# h' J" n2 X

: \; f8 t- R! m' P& n1 y, p   , K$ p$ ]/ q5 ~7 J5 B; J

' L" A; R; V% S, K; ?* }

( o8 d+ n+ r5 h# l( `* K 对应着avatar.inc.php代码如下： ' J# k1 X8 p3 B6 K4 F( Q

9 D2 f' m! P! ^1 r

8 i! r- \7 d$ U <?php defined('IN_DESTOON') or exit('Access Denied');login();require DT_ROOT.'/module/'.$module.'/common.inc.php';require DT_ROOT.'/include/post.func.php';$avatar = useravatar($_userid, 'large', 0, 2);switch($action) {

    case 'upload':

, c2 F) _* n( U, ~ G! m

. `: W9 |$ O* `3 a5 D$ j: F3 G) s$ B         if(!$_FILES['file']['size']) { . z5 b, H4 B: @0 F( z

1 ^. Z1 l# y3 o' c, } V( x

            if($DT_PC) dheader('?action=html&reload='.$DT_TIME);

            exit('{"error":1,"message":"Error FILE"}');

* t" \1 u3 B: E2 E7 S, D7 z# r- b

        } 4 M( O; D0 }* G% X/ A! G; Y

% r8 ^) }" \4 I. e

. n" A% b! |8 [/ X: q' Z L9 ]9 m         require DT_ROOT.'/include/upload.class.php'; ) L# v, e8 e4 N5 R1 N/ t- H

 

        $ext = file_ext($_FILES['file']['name']);

. S; f5 G. I- a

        $name = 'avatar'.$_userid.'.'.$ext;

        $file = DT_ROOT.'/file/temp/'.$name;

  ; \' c/ Q" ~! D% j# b

+ f, @' p- p$ {3 R* f

        if(is_file($file)) file_del($file); + e2 E" U) {" ]8 F/ r( r0 F# W2 p4 F

! j2 J+ b) U+ A& F* v3 w7 O& M

        $upload = new upload($_FILES, 'file/temp/', $name, 'jpg|jpeg|gif|png'); $ Y: \, X3 ]: n5 A$ b9 W

* w! P* K0 c$ L: R: a: o1 w' p# p

" j: `0 H/ T, b( M @   4 B3 S: R2 I: ^; ]' h4 W$ s

$ x3 n* Q0 F0 {

        $upload->adduserid = false;

 

        if($upload->save()) { * c( O* S5 t# T( }# }

' P+ y2 E/ }! ^ g/ f7 F0 z u0 T; \

            ... ! [1 l+ E* I$ Q9 m5 u, y8 ]8 G5 X7 y

/ ` z \/ ?- g/ L         } else { ) ^6 ?! O- @" l- ?& j) j s- B( G

+ w7 L3 x/ C k9 v, ]2 z

6 H0 m# n- w& W8 C& j v' y6 n0 T* T             ... 9 o* h7 E" N0 X) a

* Q5 H, k! e9 ?. i* B" v

        } ! c1 \8 e$ Q& t, q( W7 N6 P, `9 ]+ v

# C. Z1 ]. a1 H& D     break; . d7 c; q& E: E( g

这里通过$_FILES['file']依次获取了上传文件扩展名$ext、保存临时文件名$name、保存临时文件完整路径$file变量。之后通过new upload();创立一个upload对象，等到$upload->save()时再将文件真正写入。 % f4 L$ H2 K, s+ E8 b

' b! S$ @/ F- }4 T `

+ P4 l; Y8 P% L3 i+ o$ J upload对象构造函数如下，include/upload.class.php:25： 7 Q* H- O' k" P" c, Q* E

3 B) S& _5 g' L <?phpclass upload {

    function __construct($_file, $savepath, $savename = '', $fileformat = '') {

4 x/ s3 _% j2 G/ M- e) n4 R

J: N4 Y8 h4 D; A4 D3 m& V$ G" a) S         global $DT, $_userid;

* P: S. Y: [( |( p0 Z         foreach($_file as $file) {

            $this->file = $file['tmp_name']; # i% V/ w8 W7 |. p \

0 t- P4 A. H& T F5 J

            $this->file_name = $file['name']; 1 r# o! G: } e( M

& E! _7 F+ c% c

+ g* a- N. O5 g* M3 ~+ `             $this->file_size = $file['size']; 2 }8 X, q; |/ l# A. X$ e

            $this->file_type = $file['type'];

            $this->file_error = $file['error'];

5 d7 ]: v( a/ s$ `$ b   " J, j" }# {# ~9 g8 l+ n

        } 9 n/ h6 d! L* x: K6 V* g

        $this->userid = $_userid;

        $this->ext = file_ext($this->file_name);

        $this->fileformat = $fileformat ? $fileformat : $DT['uploadtype']; / b' ~+ y @/ t/ ^7 O! f# o! G- @

1 n7 E" y" p2 {6 H* m         $this->maxsize = $DT['uploadsize'] ? $DT['uploadsize']*1024 : 2048*1024;

6 z; v, R. P: q( s# V9 t# m: l

) S ~- R F% j& B         $this->savepath = $savepath; % I5 w4 E6 K$ I$ W3 ~6 ]7 R

        $this->savename = $savename;

    }}

7 D5 c+ h/ O5 X

这里通过foreach($_file as $file)来遍历初始化各项参数。而savepath、savename则是通过__construct($_file, $savepath, $savename = '', $fileformat = '')直接传入参数指定。

0 w; ~) V7 G/ v 因此考虑上传了两个文件，第一个文件名是1.php，第二个文件是1.jpg，只要构造合理的表单上传（参考：https://www.cnblogs.com/DeanChopper/p/4673577.html），则在avatar.inc.php中

$ext = file_ext($_FILES['file']['name']); // `$ext`即为`php` $name = 'avatar'.$_userid.'.'.$ext; // $name 为 'avatar'.$_userid.'.'php'$file = DT_ROOT.'/file/temp/'.$name; // $file 即为 xx/xx/xx/xx.php 3 |5 t5 z$ x5 V, X2 q

; K: V' o* [2 O' x 而在upload类中，由于多个文件上传，$this->file、$this->file_name、$this->file_type将foreach在第二次循环中被置为jpg文件。测试如下： 6 p7 ?8 ^0 a: v' [

% E# c3 e7 s/ t4 l# I4 E J

 

' x4 s5 s. n/ H

8 G6 b* S X0 ?0 b$ v4 F 回到avatar.inc.php，当进行文件保存时调用$upload->save()，include/upload.class.php:50:

) [0 d% i, [7 B$ c

<?phpclass upload {

3 K4 S" ^# H, j2 }     function save() { , b( t9 _0 G- v

, P& O. |$ c/ \1 v+ a

2 X9 Z& O1 j, d) D! a/ B         include load('include.lang');

        if($this->file_error) return $this->_('Error(21)'.$L['upload_failed'].' ('.$L['upload_error_'.$this->file_error].')');

- S, W$ R7 K) z" h0 v+ F! K" n+ m

% v T/ F) F3 b# Z3 D   : D2 ]' m/ d9 M6 D

$ B0 j2 H7 W& j3 M5 ^         if($this->maxsize > 0 && $this->file_size > $this->maxsize) return $this->_('Error(22)'.$L['upload_size_limit'].' ('.intval($this->maxsize/1024).'Kb)');

5 A. ~5 f H- L+ L

" z+ v @) L# U# i7 \   0 b% j" s4 {2 I1 ~4 [9 D5 t

        if(!$this->is_allow()) return $this->_('Error(23)'.$L['upload_not_allow']);

% x2 i# D+ u' A% ~" \  

6 ?* w' [6 F7 V4 b! D, m

- `, `* a* U% Y9 y. P. u: r3 Y         $this->set_savepath($this->savepath);

7 w: `& K k" C

8 h9 }$ }. ^) Z- o) I' O. d4 P         $this->set_savename($this->savename);

0 G' e/ \2 l, @* H8 V, l1 q* r   $ B1 F+ M* e% x& \

- Z! S- u3 P- w

) v i( Z, D9 f# S. J# p         if(!is_writable(DT_ROOT.'/'.$this->savepath)) return $this->_('Error(24)'.$L['upload_unwritable']);

# r: m) l3 G' g( X# p/ i

        if(!is_uploaded_file($this->file)) return $this->_('Error(25)'.$L['upload_failed']);

        if(!move_uploaded_file($this->file, DT_ROOT.'/'.$this->saveto)) return $this->_('Error(26)'.$L['upload_failed']); F- h) X! R A/ w5 y

  5 ]! r# _2 {3 ]+ B4 |, f

        $this->image = $this->is_image();

2 w% A/ _2 ]! b2 b7 ]0 D X

7 X+ i, u, P3 n5 M1 |$ _1 ` L: G         if(DT_CHMOD) @chmod(DT_ROOT.'/'.$this->saveto, DT_CHMOD); 9 p( m$ u& A/ C# m7 }

        return true;

; Z' V( B5 \& ~" `- d2 @     }}

先经过几个基本参数的检查，然后调用$this->is_allow()来进行安全检查 include/upload.class.php:72： L5 X) A7 J$ ~. H. F' x% V

" e y% o0 D3 @4 W' O

<?php y' a. X. X' t

' B; [6 |% l2 U

    function is_allow() { ; D( y N: c# G2 W

" r# h% M8 r3 z/ b" D         if(!$this->fileformat) return false;

3 i4 e" y3 l7 P. x, s0 i# Z         if(!preg_match("/^(".$this->fileformat.")$/i", $this->ext)) return false; % k1 e9 a, h. t3 ]) s

. Z* Q! G8 p! e$ R. L2 ?         if(preg_match("/^(php|phtml|php3|php4|jsp|exe|dll|cer|shtml|shtm|asp|asa|aspx|asax|ashx|cgi|fcgi|pl)$/i", $this->ext)) return false;

6 g$ |3 O( _* \( O% S- X

        return true; ' U3 p6 ~% W& c9 _8 r# H

, g) R" T$ V6 f5 W K5 N4 ~; j     } 6 {" B* w9 F! V! E( V# J: P

7 a1 o; W: q5 B

可以看到这里仅仅对$this->ext进行了检查，如前此时$this->ext为jpg，检查通过。

. X$ b$ H6 @# a# @& D# }' }

0 o& G. G! b% Q) c 接着会进行真正的保存。通过$this->set_savepath($this->savepath); $this->set_savename($this->savename);设置了$this->saveto，然后通过move_uploaded_file($this->file, DT_ROOT.'/'.$this->saveto)将file保存到$this->saveto ，注意此时的savepath、savename、saveto均以php为后缀，而$this->file实际指的是第二个jpg文件。 1 g4 n y1 |0 H- \

( o* u3 v) t( q. c( W 漏洞利用

& H+ v' @6 Y; K" e8 G8 _7 m+ t: j$ O

综上，上传两个文件，其中第一个文件以php为结尾如1.php，用于设置后缀名为php；第二个文件为1.jpg，jpg用于绕过检测，其内容为php一句话木马(图片马)。 , Q+ A: V. n; z/ \8 s5 O+ \

" K: f6 `" T9 x

/ F) y# A5 b' N, u   9 I- p+ I% s" d; L

然后访问http://127.0.0.1/file/temp/avatar1.php 即可。其中1是自己的_userid * D- Q, b* ~5 V: L0 k, I! n

" q t" m! d* R- |8 M2 F% S 不过实际利用上会有一定的限制。 5 v% p5 q9 o! b2 K K

/ J1 T& K4 `6 E, N

! M5 X2 f- `! ]' l 第一点是destoon使用了伪静态规则，限制了file目录下php文件的执行。 ) z; e5 ` P$ Z; [9 v3 H

# ~+ ~0 H4 v& e# c l3 C

 

9 A. d+ a9 c) P$ z2 l) F: d

+ o% n$ b$ e+ t, {+ n. Z. Q 第二点是avatar.inc.php中在$upload->save()后，会再次对文件进行检查，然后重命名为xx.jpg： 4 w8 A$ F, ^- Q3 b

省略...$img = array();$img[1] = $dir.'.jpg';$img[2] = $dir.'x48.jpg';$img[3] = $dir.'x20.jpg';$md5 = md5($_username);$dir = DT_ROOT.'/file/avatar/'.substr($md5, 0, 2).'/'.substr($md5, 2, 2).'/_'.$_username;$img[4] = $dir.'.jpg';$img[5] = $dir.'x48.jpg';$img[6] = $dir.'x20.jpg';file_copy($file, $img[1]);file_copy($file, $img[4]);省略... ; _1 F6 t9 W$ E' d5 S6 D5 `

因此要利用成功就需要条件竞争了。

$ C6 [8 v4 p2 S0 o7 ? 补丁分析

4 a- @; ]/ `# z2 J3 s8 `

, F1 @( J8 p, B/ ~6 _/ L/ I2 F! D  

% ?! \2 x5 E% k7 R4 }; P

在upload的一开始，就进行一次后缀名的检查。其中is_image如下：

$ ^9 l y$ a, Y5 G+ t8 x

function is_image($file) {    return preg_match("/^(jpg|jpeg|gif|png|bmp)$/i", file_ext($file));}

+ H( i! H3 `( d! E+ Z1 s0 f

  # m) u5 z3 P$ U. Y

1 y1 R1 o4 X* p' g1 o( ^

K" @0 K1 P" n! \ 在__construct()的foreach中使用了break，获取了第一个文件后就跳出循环。

7 @/ h- a& ?9 n5 [' ^

! m9 K, E- A( t' u) @8 H* | 在is_allow()中增加对$this->savename的二次检查。

! S$ Q* K& `* t& E6 }- J% v 最后

$ [, L& E" K) O9 ~) O$ @

嘛，祝各位大师傅中秋快乐！ . I$ m% P8 e! J; i% E

/ x* R* g) |# ~$ P* l6 ?7 v; f8 F

/ R/ d! w' ]8 K1 N   # y2 R. r' J/ ?5 I, Q+ [