Destoon cms前台getwebshell

admin

前言

5 r! ]; s+ M8 [3 F# `" B

2018年9月21日，Destoon官方发布安全更新，修复了由用户“索马里的海贼”反馈的一个漏洞。 8 c3 G0 I4 N8 |" R7 W

: _$ S1 i, G/ p1 y; k- K  

3 e# c: A/ a, {( ?' g; d$ |

! d; O, F6 w) L8 G 漏洞分析

, m/ a i0 W4 V% M 根据更新消息可知漏洞发生在头像上传处。Destoon中处理头像上传的是 module/member/avatar.inc.php 文件。在会员中心处上传头像时抓包，部分内容如下： ^: s: M9 w+ q! w3 v2 N2 t# u

: ?( P! e4 A/ L% }! c

]4 C8 \; ]; q/ g* G. M F( I  

* g2 p k' }$ u, x% d1 E

对应着avatar.inc.php代码如下： $ E, l( \6 o: S( O& i

<?php defined('IN_DESTOON') or exit('Access Denied');login();require DT_ROOT.'/module/'.$module.'/common.inc.php';require DT_ROOT.'/include/post.func.php';$avatar = useravatar($_userid, 'large', 0, 2);switch($action) {

. G. F2 M+ N7 }/ M

    case 'upload':

4 B: i: i0 M2 A% P' R# q0 T

' `# Z2 d' x" Y8 j- ^( y         if(!$_FILES['file']['size']) {

5 S# x; H6 c J+ o             if($DT_PC) dheader('?action=html&reload='.$DT_TIME);

            exit('{"error":1,"message":"Error FILE"}'); ) v6 w8 @) v$ q

7 G" u$ q0 c: f0 {$ L/ @* Y

        } 4 B; N6 R `& N7 w( s; ?. I

9 s7 J5 T# N% C, a2 ]. _$ M, Q         require DT_ROOT.'/include/upload.class.php';

  a. L# i) V0 w' G% K# K

        $ext = file_ext($_FILES['file']['name']);

2 x1 C5 Z. @- Z0 _

& j9 U. ]( C; f* ]: x' H         $name = 'avatar'.$_userid.'.'.$ext; ; `: q) @ J7 z2 E: \2 |

: Q1 v ]! \2 D7 X P7 y* _* x( j         $file = DT_ROOT.'/file/temp/'.$name;

. ?$ j6 R7 u2 C$ q! A; d

( A- {6 q/ B( m7 b7 ?   5 n( w1 w1 \5 s" g8 I0 {2 P

+ Z! X; R" O. {1 \         if(is_file($file)) file_del($file);

! e( ]( c0 q5 I& J. t3 d" a         $upload = new upload($_FILES, 'file/temp/', $name, 'jpg|jpeg|gif|png'); 2 S% T1 Y0 z: c

2 `. q6 n6 w7 x- b  

( X: }- z/ s, A3 H, ?$ y         $upload->adduserid = false; W9 K; x9 W; B8 [. s& P

- Z* Z" {- q1 {6 G7 z

* x) H( Z9 s' y2 Q% r  

( p1 X- N! _4 A: s3 a8 j, U+ O

        if($upload->save()) {

$ K9 s; ]* t, I, d

            ...

        } else { . o0 N+ v+ W- i" F: G' X7 b ^2 l

1 e* G9 S( H& v/ J- T" ^

            ...

# w8 z, j; m) c

        }

$ V* a: C7 t( d0 D- _/ B

    break;

/ W( o- d) j8 U, F$ i \ 这里通过$_FILES['file']依次获取了上传文件扩展名$ext、保存临时文件名$name、保存临时文件完整路径$file变量。之后通过new upload();创立一个upload对象，等到$upload->save()时再将文件真正写入。

3 X4 c" A$ ] Q9 {

upload对象构造函数如下，include/upload.class.php:25：

7 Z+ r* T( u+ Z" n* {

$ J8 z, ?& {: V% Q4 ] <?phpclass upload { 0 o8 U; U! ]+ U! h; |+ F! ]

    function __construct($_file, $savepath, $savename = '', $fileformat = '') { t5 m0 z, ~7 O1 d. E- ]

- i+ e; i* s5 I

2 p6 ^, `! D5 R( ~         global $DT, $_userid;

- Q+ X; b4 l# K0 c

        foreach($_file as $file) { $ b) D$ E$ k0 |

2 D" z' b4 S5 b1 i& ?0 o             $this->file = $file['tmp_name'];

( j* r* {9 ~( U

0 b# f% n2 D9 t) c0 Y ~5 |             $this->file_name = $file['name'];

$ k+ P1 Y2 r' |1 B             $this->file_size = $file['size']; 6 h% W( b$ E$ P1 o/ t

            $this->file_type = $file['type'];

: b/ f4 F. Z; Q6 Q

4 j2 L6 N* J* J0 L5 h) a6 U             $this->file_error = $file['error']; ( G6 K$ w2 | h& {# `

/ d" Q4 M* n# q" W6 r4 \- D

  $ Y3 p: ]6 L+ g& w A

7 X: d# b" |' Q; o/ }9 o8 A         } 9 K, z0 o+ j& s1 p; N2 W4 N4 t

% V4 W3 g" z5 F1 F

0 f3 b/ @6 ~- S, x- r( N         $this->userid = $_userid; 5 Q/ @* c. H/ |: i

/ B, V+ t' S+ [2 j8 A0 n: T8 L8 J         $this->ext = file_ext($this->file_name);

        $this->fileformat = $fileformat ? $fileformat : $DT['uploadtype']; ) X6 J# i2 M8 k( m% i8 o* g

        $this->maxsize = $DT['uploadsize'] ? $DT['uploadsize']*1024 : 2048*1024; 5 R( a; P' _( Q% t

        $this->savepath = $savepath; - w+ R% X) c' w/ \2 k$ r0 g3 I$ r

        $this->savename = $savename; , S# z. A/ X v! x5 J$ J

( e" i" k6 e3 E, w* S

    }}

' ~& m8 R' y" ~# p) M0 c( S9 U

{ x, r- \7 h4 d2 ~- ?. E7 h 这里通过foreach($_file as $file)来遍历初始化各项参数。而savepath、savename则是通过__construct($_file, $savepath, $savename = '', $fileformat = '')直接传入参数指定。

8 Q: L i* Y( H3 I) d! X1 x) i

* i* s2 J- w9 y! { 因此考虑上传了两个文件，第一个文件名是1.php，第二个文件是1.jpg，只要构造合理的表单上传（参考：https://www.cnblogs.com/DeanChopper/p/4673577.html），则在avatar.inc.php中 - a+ G9 |! R' y" E. K

! O; O- B3 m" d- T' V, o% t

; r e+ J4 ]2 Q; c4 p+ u+ r8 I' B $ext = file_ext($_FILES['file']['name']); // `$ext`即为`php` $name = 'avatar'.$_userid.'.'.$ext; // $name 为 'avatar'.$_userid.'.'php'$file = DT_ROOT.'/file/temp/'.$name; // $file 即为 xx/xx/xx/xx.php

& ]+ I9 ~7 J* d4 C$ T

而在upload类中，由于多个文件上传，$this->file、$this->file_name、$this->file_type将foreach在第二次循环中被置为jpg文件。测试如下：

 

! F/ P5 c- J4 P! ]

1 L3 J6 b- U( }( U, b( A 回到avatar.inc.php，当进行文件保存时调用$upload->save()，include/upload.class.php:50: 9 D& Q4 }# M6 d2 Q

" G8 D* [9 F" }

0 p' r( D' i( I& P4 U <?phpclass upload {

& H: j% r- A% o0 h& k, ]& W) w

& }% m5 E3 _, W( e' s     function save() {

8 F% }( c' z. }2 x" x6 R! O

        include load('include.lang');

t2 Z2 p% e" N9 Q% j

( w+ [' {7 L6 O0 m. q; {" u         if($this->file_error) return $this->_('Error(21)'.$L['upload_failed'].' ('.$L['upload_error_'.$this->file_error].')'); ; f2 z% `, ^1 _6 U% o7 x2 R( M

* ]. `* Q5 y% t; O) n! i  

& m$ V- w- L: b; d( |4 }" h5 E* x* s4 s         if($this->maxsize > 0 && $this->file_size > $this->maxsize) return $this->_('Error(22)'.$L['upload_size_limit'].' ('.intval($this->maxsize/1024).'Kb)');

) r2 i0 [# H5 c6 [

$ |$ i1 R' Y6 q8 U1 w C* u   ' t/ Z* U0 x# {+ i% j: D) p0 v

        if(!$this->is_allow()) return $this->_('Error(23)'.$L['upload_not_allow']); % l w1 T X: @" N8 D

* g5 Y# z0 }3 `4 e  

        $this->set_savepath($this->savepath); $ ^7 I& H& S' V, @" R, {# Q

; J2 T$ {+ I% Q5 P

        $this->set_savename($this->savename);

5 {" |5 [, T# {: w  

$ e- y4 u8 n( B' Z( F+ [- a% o0 v6 L         if(!is_writable(DT_ROOT.'/'.$this->savepath)) return $this->_('Error(24)'.$L['upload_unwritable']); ) B' n% e4 p% r+ A& v z

/ ]. b: ~- p G1 S4 l

7 \ O* Z3 L$ c! t" j& {2 g5 Y         if(!is_uploaded_file($this->file)) return $this->_('Error(25)'.$L['upload_failed']);

( H; x& C% X( [% x4 Z* D! p7 e         if(!move_uploaded_file($this->file, DT_ROOT.'/'.$this->saveto)) return $this->_('Error(26)'.$L['upload_failed']); * |9 H' n6 {6 _* T# h' I/ O

2 b+ T: |; u: f% O( U4 e" ]* y

 

) n! i+ K* P5 ]

        $this->image = $this->is_image(); , d, g' X Y+ g1 }: N# P# P+ P

7 y* A1 V/ {$ m

- D3 e0 k+ O0 [" \8 ~         if(DT_CHMOD) @chmod(DT_ROOT.'/'.$this->saveto, DT_CHMOD); & O; ?; g3 S7 S+ h) b

, M# t$ k/ P, s! N         return true; * D: _0 b# t1 H# p

9 S& R; @2 e% V9 s

    }}

+ N1 r$ g9 Y. m' E+ Q

先经过几个基本参数的检查，然后调用$this->is_allow()来进行安全检查 include/upload.class.php:72： ( b0 y8 I& ] V% W

<?php

6 x% j" {) a* ~* e' B3 e6 W' Z& p

    function is_allow() { 4 G7 _3 f9 c5 _* ^7 {2 n6 ~

& @: Q' I' I# M8 t4 [* E5 b

Z( G. v5 f7 e         if(!$this->fileformat) return false;

1 w9 N) h$ k& g7 k. @* s. T

        if(!preg_match("/^(".$this->fileformat.")$/i", $this->ext)) return false; $ J, { L: R& k6 \

3 v& F% d G$ b9 L: J

, A: n* l: g2 k; p         if(preg_match("/^(php|phtml|php3|php4|jsp|exe|dll|cer|shtml|shtm|asp|asa|aspx|asax|ashx|cgi|fcgi|pl)$/i", $this->ext)) return false; 5 W! @$ J* Y/ F: D4 H

3 h( M# `& f, M+ ?, C) v& F+ |         return true;

; h/ F4 J; j( v; R     } ! W8 u, Y/ l& }9 Q1 `& e) p4 j) B

! u+ s. F% S1 l: C! l+ U, } 可以看到这里仅仅对$this->ext进行了检查，如前此时$this->ext为jpg，检查通过。

1 H* b( N1 ]/ L0 q( e5 ]" I 接着会进行真正的保存。通过$this->set_savepath($this->savepath); $this->set_savename($this->savename);设置了$this->saveto，然后通过move_uploaded_file($this->file, DT_ROOT.'/'.$this->saveto)将file保存到$this->saveto ，注意此时的savepath、savename、saveto均以php为后缀，而$this->file实际指的是第二个jpg文件。 ( ]) g6 ^1 {& u6 J( y

. P2 v7 N( S3 r& n. C- ` 漏洞利用 : P' K* K) ]( a0 B# F+ @, r

- |" X3 k# e+ c& I/ }) E- T; Z

综上，上传两个文件，其中第一个文件以php为结尾如1.php，用于设置后缀名为php；第二个文件为1.jpg，jpg用于绕过检测，其内容为php一句话木马(图片马)。 : e' s7 l; r3 T! B6 t/ K. A

% D+ K" \4 `: ?- l

  6 |9 K: P0 R5 V2 h- ]

! I6 a$ o# m! M- F. s% X- o+ y7 [ 然后访问http://127.0.0.1/file/temp/avatar1.php 即可。其中1是自己的_userid * [1 A/ O" F2 ^

3 |' v) l* p' f' v

不过实际利用上会有一定的限制。 , `% b9 }3 M2 P8 j

, m1 S! \' [- i. w1 o 第一点是destoon使用了伪静态规则，限制了file目录下php文件的执行。

  - k d& a/ Q* [9 ]3 k5 y. d* v' E

7 M7 F9 v0 n7 M3 _4 Z

) b2 r7 P. }& A 第二点是avatar.inc.php中在$upload->save()后，会再次对文件进行检查，然后重命名为xx.jpg： 7 K8 Y; ]. f5 V& P9 `; P; t

- X' b. P( e6 ~( P* Y* q5 Q 省略...$img = array();$img[1] = $dir.'.jpg';$img[2] = $dir.'x48.jpg';$img[3] = $dir.'x20.jpg';$md5 = md5($_username);$dir = DT_ROOT.'/file/avatar/'.substr($md5, 0, 2).'/'.substr($md5, 2, 2).'/_'.$_username;$img[4] = $dir.'.jpg';$img[5] = $dir.'x48.jpg';$img[6] = $dir.'x20.jpg';file_copy($file, $img[1]);file_copy($file, $img[4]);省略...

+ y9 [9 t" c; [' L8 x

因此要利用成功就需要条件竞争了。 , V# x y2 w4 u! R% g

# p) `# I0 j6 W; d: } R

补丁分析

3 y, z$ P. q: C |- |# r

 

; R. ~+ e7 G2 T! m! K3 ?7 K9 K* m

在upload的一开始，就进行一次后缀名的检查。其中is_image如下： & M% m3 ?, o3 N* }: @

function is_image($file) {    return preg_match("/^(jpg|jpeg|gif|png|bmp)$/i", file_ext($file));}

7 M% o2 R1 G# t0 ?. t: F

  9 B( y; u2 r% P% a5 O# z" W r6 o

' a8 i5 i8 v8 m; N A/ Z9 r" J% w

在__construct()的foreach中使用了break，获取了第一个文件后就跳出循环。

1 ^5 g7 D& [" m' @: t

$ ^! w! T8 V0 m+ c) w1 y 在is_allow()中增加对$this->savename的二次检查。

, W ]: Z! Y4 N0 X/ O& a 最后 / x4 `. i1 r% q5 y, }2 v

7 s" a' [' Y6 Z" r5 F+ d 嘛，祝各位大师傅中秋快乐！ 6 J; z6 G+ Q* o; D% z

3 n$ W0 @1 m" O