Destoon cms前台getwebshell

admin

& g( g0 @8 G. V- n# M) C

前言

0 m% t. }$ @6 t

5 Z4 V4 Q: f( v7 [- ^4 \ 2018年9月21日，Destoon官方发布安全更新，修复了由用户“索马里的海贼”反馈的一个漏洞。 $ O+ p: T( _+ \, \# C. ~0 T+ M. E

  $ f8 z5 |7 h$ z; R5 ]0 ^

+ _6 i& [/ A: j$ p$ J* B

w; G3 I/ h5 I z ~, } 漏洞分析 7 k3 `! G" r: F! x) V& P! `

. g8 h) z/ [+ N6 K

根据更新消息可知漏洞发生在头像上传处。Destoon中处理头像上传的是 module/member/avatar.inc.php 文件。在会员中心处上传头像时抓包，部分内容如下： 6 w N2 m4 H! k$ W H* m

# ~, o+ X- e' j0 X4 F6 ] I

+ v; X+ ^1 a. V   8 v- }7 x) R) z# A; K. o# R

3 R, w6 H6 w+ |2 k

对应着avatar.inc.php代码如下：

1 h" N( |+ s8 t* E5 A! t <?php defined('IN_DESTOON') or exit('Access Denied');login();require DT_ROOT.'/module/'.$module.'/common.inc.php';require DT_ROOT.'/include/post.func.php';$avatar = useravatar($_userid, 'large', 0, 2);switch($action) {

/ y: ?; A9 w1 D$ f" y" F

g+ U y' j6 w3 J     case 'upload':

! _3 u" s; b4 Q/ i5 c5 J

        if(!$_FILES['file']['size']) { ( W% T v0 D* D1 s& \3 \

+ E3 v @# a* ] x+ C$ V# N' ?# M) M

! B4 j4 P4 d# v, M0 B             if($DT_PC) dheader('?action=html&reload='.$DT_TIME); 0 A+ W u* c/ G( f/ v

( ^5 `& @ a/ z4 }, |* F             exit('{"error":1,"message":"Error FILE"}');

( x+ u, Y6 c3 Y& k+ g         }

# w$ l: u: T; P         require DT_ROOT.'/include/upload.class.php';

 

9 h' X: P! q# B' d$ F9 \+ y

        $ext = file_ext($_FILES['file']['name']); " q p8 q/ @; J; d

        $name = 'avatar'.$_userid.'.'.$ext; # j* M) } V) n% N7 T; M. x9 U5 N

' x4 \9 J6 T0 u7 j

        $file = DT_ROOT.'/file/temp/'.$name; + c/ `6 e& N; l- p' t( t' t4 U

+ [4 m# @$ o1 V% z" K( B

 

; u2 C( c7 G, s' @5 |

9 ]4 D: r4 [. q         if(is_file($file)) file_del($file); ( D& M3 \- e9 L- L7 Z9 g% n3 L

' j- w7 l% Y7 \3 w

        $upload = new upload($_FILES, 'file/temp/', $name, 'jpg|jpeg|gif|png'); . Z/ }) |/ K) B" g0 i

 

        $upload->adduserid = false; " }$ g0 o5 E' ]: k0 D* \

) Z- v! t: Y) F: ?* l0 L1 a; t

" q/ c: R, I" u$ J4 @5 S   ; p" ~2 u* H$ w0 Q

        if($upload->save()) {

            ... 7 ^ t7 q5 @/ K6 s" \5 N" O

- R% Q4 }9 {# K* |8 o

: G3 b& V; ~! w- x7 |         } else { - Y7 g( _% O/ B) I

* Y! L* K( q% G- h

# E. L3 z. o) g/ } N             ...

) U" p: X' U" S# F3 C5 o+ q2 H ]

        } 1 l: k7 J5 {( f

# E" u. T+ t8 m0 j9 H# A+ `

9 D( M" B( f1 s, p2 o5 Q0 \/ L8 p' x     break; 3 z& {* u; p j6 k

) i9 |; |# {5 B( t7 e 这里通过$_FILES['file']依次获取了上传文件扩展名$ext、保存临时文件名$name、保存临时文件完整路径$file变量。之后通过new upload();创立一个upload对象，等到$upload->save()时再将文件真正写入。

0 j4 u- w# H m# t% X" A

upload对象构造函数如下，include/upload.class.php:25： 7 F* u* H0 S' L- S* P. {

<?phpclass upload { / I- i& ]' G, M" l

9 a0 n8 n7 I/ [

. u) v" w8 H( f7 C1 p W3 L( l     function __construct($_file, $savepath, $savename = '', $fileformat = '') { / g5 J, v( l9 l) e6 D

" G$ h5 J& N# f

        global $DT, $_userid;

        foreach($_file as $file) {

- c* q0 E* p% d, a; Y3 Y

            $this->file = $file['tmp_name'];

            $this->file_name = $file['name']; ) r" ~+ Y, s9 n) D' o% ^( E0 x. V

            $this->file_size = $file['size']; 5 Q& _+ C& p8 n2 _5 k

4 X: m4 y H5 ~3 V) M% [

            $this->file_type = $file['type']; / L, D9 Q1 Z/ Y( F. o

3 O9 z$ X9 R3 H

            $this->file_error = $file['error'];

2 r7 w, U$ _$ G6 y: ]

 

7 b. l: t% ?& ]2 }         }

. ? R" V5 { {3 X7 q         $this->userid = $_userid; ' ?/ U) \& p7 T

        $this->ext = file_ext($this->file_name); 4 N0 K' w6 v8 C

' A' w$ r" w, g

        $this->fileformat = $fileformat ? $fileformat : $DT['uploadtype'];

4 ], S( r+ P' j' S         $this->maxsize = $DT['uploadsize'] ? $DT['uploadsize']*1024 : 2048*1024;

$ u/ O- Y% H( V+ D X' Y

        $this->savepath = $savepath; 5 J" T0 r3 H+ D, q2 d- A) t8 d$ W

        $this->savename = $savename; * e$ C/ y0 S$ `

' {" x% Z3 O1 d) b& l1 ~1 Y

    }} 8 g8 g S& i# z- T+ U$ L

这里通过foreach($_file as $file)来遍历初始化各项参数。而savepath、savename则是通过__construct($_file, $savepath, $savename = '', $fileformat = '')直接传入参数指定。

8 `8 @6 R" O) N& p1 Z, j I 因此考虑上传了两个文件，第一个文件名是1.php，第二个文件是1.jpg，只要构造合理的表单上传（参考：https://www.cnblogs.com/DeanChopper/p/4673577.html），则在avatar.inc.php中

2 {! Z8 F9 }# {0 u $ext = file_ext($_FILES['file']['name']); // `$ext`即为`php` $name = 'avatar'.$_userid.'.'.$ext; // $name 为 'avatar'.$_userid.'.'php'$file = DT_ROOT.'/file/temp/'.$name; // $file 即为 xx/xx/xx/xx.php

O' M& ?) [$ @# d" P

0 V9 w' e+ o# X# {- o7 Q5 a 而在upload类中，由于多个文件上传，$this->file、$this->file_name、$this->file_type将foreach在第二次循环中被置为jpg文件。测试如下：

: m P, C" p$ Y# Q ^6 p: `   % K# [9 _- O& D* |

回到avatar.inc.php，当进行文件保存时调用$upload->save()，include/upload.class.php:50:

( f$ e( ~3 h: G; J8 l# O4 c: Z/ \, L

<?phpclass upload { , Z! b* k7 T5 ~# X/ @, Q( W, y1 m

2 ~; k: y7 G$ x9 I& R3 R) A

    function save() { 8 j3 I2 q7 s4 U' i! r% G4 s2 n( S

/ u" _3 l. s# |7 W1 \         include load('include.lang');

* F' Z! i7 u; h+ J* Y

        if($this->file_error) return $this->_('Error(21)'.$L['upload_failed'].' ('.$L['upload_error_'.$this->file_error].')');

- {& R5 M) o& m0 u) V% e

 

4 Q* j, a) i: R- v. N) W! `

' J5 o5 s, T9 r' ^         if($this->maxsize > 0 && $this->file_size > $this->maxsize) return $this->_('Error(22)'.$L['upload_size_limit'].' ('.intval($this->maxsize/1024).'Kb)'); 6 E6 ]) n- J% n- [8 U5 U

% ^% m, T& K- U/ ~- }( ]+ s   ( w4 y" m8 |" x5 j

* v7 B3 b2 L& u2 y         if(!$this->is_allow()) return $this->_('Error(23)'.$L['upload_not_allow']);

 

) Y! R+ |: z" [         $this->set_savepath($this->savepath); 3 j6 {3 d9 w9 i+ t4 I

% v0 y! v2 c1 [- y' z; v: w

! s2 g4 [* k) d4 s# ^6 M) j         $this->set_savename($this->savename); Z! {9 S5 ?2 ^- I7 J

2 X$ p8 F) b, o/ t6 w9 V

3 w1 T/ D7 H( @1 D   8 v& b) f7 B5 l. r% C* O1 B

        if(!is_writable(DT_ROOT.'/'.$this->savepath)) return $this->_('Error(24)'.$L['upload_unwritable']);

        if(!is_uploaded_file($this->file)) return $this->_('Error(25)'.$L['upload_failed']);

( R9 \$ J9 g8 E/ P! a

4 @' r% g6 y" y+ ~- f         if(!move_uploaded_file($this->file, DT_ROOT.'/'.$this->saveto)) return $this->_('Error(26)'.$L['upload_failed']); 9 p8 ?. R" J% W* m6 r

: ?% e. ~% |0 S ?: H9 C2 Q

 

1 a4 K: i, {6 P

+ c8 \( v( B6 J8 m         $this->image = $this->is_image(); 4 H/ P7 B/ O* V# H; o! q7 W

: N+ u% f) F$ I9 _# ]

* K2 E% u5 q1 V         if(DT_CHMOD) @chmod(DT_ROOT.'/'.$this->saveto, DT_CHMOD); 3 s& @' d& k# }+ L

        return true; 0 E5 `" i* R2 G) s+ m0 u6 \

    }} 2 k: {9 [ d& j

7 K7 z. h9 D' k: L

先经过几个基本参数的检查，然后调用$this->is_allow()来进行安全检查 include/upload.class.php:72： 1 }/ S0 l; a: E5 {9 X" u- `& C

9 r# p. i- i1 c! G# v3 r

<?php / }1 i7 h0 o' L% O$ l4 J3 X+ L, p

1 a# c+ \2 R8 Y+ C     function is_allow() { 2 A" c5 R9 x/ M$ S* @& o4 I/ w9 Z

7 t) ^) n# f- [7 z3 b+ K5 Q

4 U0 [7 P2 V ~4 q9 M7 u         if(!$this->fileformat) return false; 4 V7 S. m5 o* J3 u4 S: @

2 Z% Q+ J' l' I, b: e

        if(!preg_match("/^(".$this->fileformat.")$/i", $this->ext)) return false;

) E* H. {( W( B/ {2 M# m! Z$ w# I

, }& O* ^0 m+ K         if(preg_match("/^(php|phtml|php3|php4|jsp|exe|dll|cer|shtml|shtm|asp|asa|aspx|asax|ashx|cgi|fcgi|pl)$/i", $this->ext)) return false;

, j2 T6 M' w, b, L         return true; , T! c3 w ?# |' `7 M/ K

( ^" x2 U* Y! g4 G0 H4 d; V+ G

6 y! s7 |. j* B4 S0 b     } 9 u5 P3 V6 `3 Q, n. ?5 L1 w- O2 H

0 Q' {; o; g' ~3 y( U9 _. j 可以看到这里仅仅对$this->ext进行了检查，如前此时$this->ext为jpg，检查通过。

A, X4 p: ^; k2 o

接着会进行真正的保存。通过$this->set_savepath($this->savepath); $this->set_savename($this->savename);设置了$this->saveto，然后通过move_uploaded_file($this->file, DT_ROOT.'/'.$this->saveto)将file保存到$this->saveto ，注意此时的savepath、savename、saveto均以php为后缀，而$this->file实际指的是第二个jpg文件。

4 H2 J1 f# ]8 ]% j& v3 Q1 g

漏洞利用

; [& R. P1 J$ D6 U) p2 t' P

! _) n% }+ Y- d1 {0 L9 [! i 综上，上传两个文件，其中第一个文件以php为结尾如1.php，用于设置后缀名为php；第二个文件为1.jpg，jpg用于绕过检测，其内容为php一句话木马(图片马)。

6 i( {9 w3 x! `% w, `. r

# W! \" X5 S0 f4 [6 @/ l$ T  

然后访问http://127.0.0.1/file/temp/avatar1.php 即可。其中1是自己的_userid 3 z" |, |0 M) I% R' b" b

; @& T# N3 C. E' z- x1 e/ g0 ` 不过实际利用上会有一定的限制。 ) g( M6 X! I6 j7 k0 u

+ W+ K+ m+ E& [. G/ u d7 f7 ^* {' O% x 第一点是destoon使用了伪静态规则，限制了file目录下php文件的执行。

2 G+ H& f& u' d

. f V1 B; D% R9 s: ^% e( j( i- A   - w9 i9 Q" b' B+ T Q8 o

第二点是avatar.inc.php中在$upload->save()后，会再次对文件进行检查，然后重命名为xx.jpg：

1 z2 G6 W1 j: x6 {3 Y8 U

省略...$img = array();$img[1] = $dir.'.jpg';$img[2] = $dir.'x48.jpg';$img[3] = $dir.'x20.jpg';$md5 = md5($_username);$dir = DT_ROOT.'/file/avatar/'.substr($md5, 0, 2).'/'.substr($md5, 2, 2).'/_'.$_username;$img[4] = $dir.'.jpg';$img[5] = $dir.'x48.jpg';$img[6] = $dir.'x20.jpg';file_copy($file, $img[1]);file_copy($file, $img[4]);省略...

1 ]8 q6 S/ W% k! X" @1 A7 {/ o

! C3 v) x! Y5 @6 O3 o' H0 ^# t, D, @ 因此要利用成功就需要条件竞争了。 ) A5 a: ~5 C2 k$ {* s& \

' {1 L! ~3 H$ R3 P

补丁分析

5 h! d4 u; i7 S3 K2 h8 ?

# I" q' W/ g: K: W- T0 F   # R% ?5 d( G% H% l

; W1 O( U I: ~& R

9 j4 N3 s' p! f 在upload的一开始，就进行一次后缀名的检查。其中is_image如下：

9 p6 M6 S( P' k3 W7 s" @" H

function is_image($file) {    return preg_match("/^(jpg|jpeg|gif|png|bmp)$/i", file_ext($file));} $ o; Z% l; {. W7 O3 [5 I) k, Z7 G

; {7 k! H4 X7 B% B1 ^& G! V

* J5 r5 M# l2 k  

! k7 U* q0 Y4 k2 ~! Q1 e

在__construct()的foreach中使用了break，获取了第一个文件后就跳出循环。 2 h+ Y0 O2 U: y8 \

1 x. n8 K5 Z2 ^/ s$ n( I$ Y5 n

% `7 d8 L7 _4 N% t7 t 在is_allow()中增加对$this->savename的二次检查。 9 F' J- D/ k% |: `: `) u

6 U9 F9 |/ B( F3 H 最后

* {: W* ~' D$ H5 ]* x

嘛，祝各位大师傅中秋快乐！ . | C2 L4 `/ ?, |: O0 v/ S1 O

9 N Z1 a% V5 \9 V& J2 D+ b: B  

3 ], L6 C; ?1 ]/ ^) O; J' C: D2 p