中国网络渗透测试联盟

标题: Destoon cms前台getwebshell [打印本页]

---

作者: admin    时间: 2018-10-20 20:13
标题: Destoon cms前台getwebshell

$ W# d7 m& J$ t

前言 2 T1 Y5 r8 N! o- l

8 `9 d0 b! @" i7 W, v3 m

9 N5 Z) f1 H' D1 z1 [. r4 I 2018年9月21日，Destoon官方发布安全更新，修复了由用户“索马里的海贼”反馈的一个漏洞。

 

% R, C- |7 ^; ^; @$ X 漏洞分析

根据更新消息可知漏洞发生在头像上传处。Destoon中处理头像上传的是 module/member/avatar.inc.php 文件。在会员中心处上传头像时抓包，部分内容如下： - ]" b% D8 s' n: }1 L7 N" ^" j9 X

* X" u' I( A4 V9 D2 F% U, Z7 b! F$ T

 

" K8 l/ ^" I! F1 ?

8 u" ^/ V7 A1 ^! |( w' L 对应着avatar.inc.php代码如下：

$ V! v0 r4 T( h3 A0 L# ] <?php defined('IN_DESTOON') or exit('Access Denied');login();require DT_ROOT.'/module/'.$module.'/common.inc.php';require DT_ROOT.'/include/post.func.php';$avatar = useravatar($_userid, 'large', 0, 2);switch($action) {

: C6 J7 X: `! p; V! j. k( q& e, ~* c4 B     case 'upload': * I* a2 V% J4 H* W

        if(!$_FILES['file']['size']) { ) f4 J) l" n- n& T& \

            if($DT_PC) dheader('?action=html&reload='.$DT_TIME);

            exit('{"error":1,"message":"Error FILE"}');

8 S6 a% A" r9 L6 W# M         }

$ K# b+ ^; _5 |4 U6 N9 J         require DT_ROOT.'/include/upload.class.php';

4 T# S" o* D2 E- I( D& f" r

1 `/ p! U' G/ Q  

/ d$ r# \1 ]& D

" n/ ~, q" q- j" i         $ext = file_ext($_FILES['file']['name']);

        $name = 'avatar'.$_userid.'.'.$ext;

n* k% n- D6 M

        $file = DT_ROOT.'/file/temp/'.$name; 7 _2 O5 a; o5 b4 Q

5 U; s2 E8 s. G5 t( @6 N; _  

( z9 \; U$ |9 k$ d; [' L

; }0 I5 I7 q, T         if(is_file($file)) file_del($file); ! }! _+ C$ e, a6 f5 E* O

        $upload = new upload($_FILES, 'file/temp/', $name, 'jpg|jpeg|gif|png');

 

        $upload->adduserid = false;

/ [, W, u }( ~- y& W$ q

' z; U5 x% j0 |" h   ! l! G/ S. A7 h; v( ]6 X* H; F: Z5 V

        if($upload->save()) {

& G# q5 L& F& {# F) R6 h

            ... & f& g( G6 z! r! X+ Q6 _- r

8 ?9 J' M L4 W/ A) A/ I2 u

        } else { & T) y1 z0 _5 H6 e! D

4 d* e7 U8 ~2 T X. j4 I

            ... , j2 @9 Y, P' r4 E! |

5 S8 s. t' y7 M& X Z/ j

8 e) C: U% ~2 Q1 o9 a7 Q* o) O         }

* u" P3 r/ `9 K2 g4 S$ P

    break; * b6 {' l/ H" k& l/ N, ]& j K

, G+ {3 t$ I) V

9 M0 s; a8 S w$ ~/ s9 \ 这里通过$_FILES['file']依次获取了上传文件扩展名$ext、保存临时文件名$name、保存临时文件完整路径$file变量。之后通过new upload();创立一个upload对象，等到$upload->save()时再将文件真正写入。 1 p+ w9 S" r7 }: {/ L5 V

upload对象构造函数如下，include/upload.class.php:25：

; ~9 E5 O' j3 c8 [$ K; R <?phpclass upload {

8 C. a) y# l/ o4 s

    function __construct($_file, $savepath, $savename = '', $fileformat = '') { " h' k. _. A) O* ?, R1 d

3 p% ?! |- K; T6 x1 _2 g         global $DT, $_userid;

+ R. x* D! D0 v @ }

        foreach($_file as $file) { : F1 D3 @( H3 \* j/ m4 P

6 ^5 V; u/ \% y5 ~' S) v+ c

            $this->file = $file['tmp_name']; ) Q& g/ k6 `+ G/ l! U0 P' B& Y

2 I Q- x; H7 p. C6 L( G4 X. O             $this->file_name = $file['name']; - A) q8 B8 z. a z2 F6 @) i% ^

/ n2 t% N& Y, s7 F$ {% c

            $this->file_size = $file['size'];

* i$ L* O) B3 O+ s' k. U! b9 {2 d             $this->file_type = $file['type']; 5 j h& T6 x+ b& r% q

& N$ r; {% s' Z6 W             $this->file_error = $file['error']; 7 M3 X2 f1 Z+ q+ d) H2 x

$ x5 R2 U+ J3 k. ]' c( r9 t$ H

 

5 `/ G0 _* A4 r/ F& ]

0 r4 \6 l/ I% |2 j2 K/ ~         }

2 ^- O8 C7 [# h9 k5 r" ]5 f J! l

9 p5 h7 @- b% K8 t2 g; j0 Z2 P* D         $this->userid = $_userid; 8 b, v0 H8 v3 g( T+ ~- Y9 y

        $this->ext = file_ext($this->file_name); % M( L. _. P: r: F0 \3 h& z# \

+ J% }" ]+ ~$ N7 p4 d! x/ O2 S. f

6 P0 x7 }6 h8 Y2 U         $this->fileformat = $fileformat ? $fileformat : $DT['uploadtype'];

3 A: \% y1 V7 T* ^, y: E4 S9 y

        $this->maxsize = $DT['uploadsize'] ? $DT['uploadsize']*1024 : 2048*1024; . [" E0 X a9 H" i, f

        $this->savepath = $savepath; \7 e: C0 t# f9 n: Z

: G8 c4 A4 A5 F( x. C         $this->savename = $savename;

    }} . w5 X# }+ G* P( E9 w: t6 l n5 J

这里通过foreach($_file as $file)来遍历初始化各项参数。而savepath、savename则是通过__construct($_file, $savepath, $savename = '', $fileformat = '')直接传入参数指定。 5 F/ S1 E V' b7 ~% ?

0 d/ ]4 A$ A1 d( U5 X: K

因此考虑上传了两个文件，第一个文件名是1.php，第二个文件是1.jpg，只要构造合理的表单上传（参考：https://www.cnblogs.com/DeanChopper/p/4673577.html），则在avatar.inc.php中

7 A7 p# i, O; t' ] L" }5 i& }$ K

$ext = file_ext($_FILES['file']['name']); // `$ext`即为`php` $name = 'avatar'.$_userid.'.'.$ext; // $name 为 'avatar'.$_userid.'.'php'$file = DT_ROOT.'/file/temp/'.$name; // $file 即为 xx/xx/xx/xx.php

而在upload类中，由于多个文件上传，$this->file、$this->file_name、$this->file_type将foreach在第二次循环中被置为jpg文件。测试如下：

2 m- p0 E4 v1 i7 L  

1 D# Y5 }0 m/ R8 z8 q

% }. u6 ^$ ]" }; d: m( G/ G8 Q 回到avatar.inc.php，当进行文件保存时调用$upload->save()，include/upload.class.php:50: $ Y: p4 d8 \6 f2 w

7 {1 W S6 h9 l+ N <?phpclass upload {

7 `% H0 e( U& C9 ]* B. @

    function save() { 6 g, O) J6 R# {' j( U

        include load('include.lang'); ! o# u" A. D r0 P/ F& t' S

" \8 {* A1 p& J; K4 y/ b

) u% c% A! Y0 {6 j! Z3 i         if($this->file_error) return $this->_('Error(21)'.$L['upload_failed'].' ('.$L['upload_error_'.$this->file_error].')'); 9 Y0 v1 }- l/ Q9 I% b

  + l3 L" R) S8 N# [) A5 r

        if($this->maxsize > 0 && $this->file_size > $this->maxsize) return $this->_('Error(22)'.$L['upload_size_limit'].' ('.intval($this->maxsize/1024).'Kb)');

 

: W$ @6 j9 v: L/ [* V7 P, H7 D

! w+ c' y" L7 T! b         if(!$this->is_allow()) return $this->_('Error(23)'.$L['upload_not_allow']);

 

1 L; @! u" u: i

% q6 L5 `$ Y. X+ A         $this->set_savepath($this->savepath);

1 a1 w$ F8 z2 F9 k1 O; x* T( W

        $this->set_savename($this->savename); ( a; Y- ?6 `1 g. S0 K& o F$ @9 k

 

. h7 l( X+ H. _: p* N

5 l7 F* Y" n( r3 U- l         if(!is_writable(DT_ROOT.'/'.$this->savepath)) return $this->_('Error(24)'.$L['upload_unwritable']);

8 G1 y4 [( l$ I0 ]7 b         if(!is_uploaded_file($this->file)) return $this->_('Error(25)'.$L['upload_failed']);

        if(!move_uploaded_file($this->file, DT_ROOT.'/'.$this->saveto)) return $this->_('Error(26)'.$L['upload_failed']); 7 k" O" ~; V3 y; f1 c

& ?6 {/ ]% L$ u/ I

% Z- C4 f2 `8 P7 q! g3 O# J K$ h   $ `9 W+ d/ g: S# T( U; t# l! c2 l9 @

        $this->image = $this->is_image();

        if(DT_CHMOD) @chmod(DT_ROOT.'/'.$this->saveto, DT_CHMOD); 5 J M4 I/ q7 k+ [! D# T

& z* a1 ^, \0 ?8 [& `; M8 i

        return true; 2 o- d2 ^& W1 c3 b

6 h8 x+ T L1 c% Y& ^5 I" z

    }}

先经过几个基本参数的检查，然后调用$this->is_allow()来进行安全检查 include/upload.class.php:72： 8 d. y D. Z: ^* N. I9 `

<?php

    function is_allow() { . t5 K. O9 w1 A; R S

- j4 d2 A' t- s! U: j         if(!$this->fileformat) return false; 1 B8 m' p( |3 }, Q

5 L4 E8 m9 G( F* ]' p2 ^* h, d

; G0 M Z3 g' N4 F         if(!preg_match("/^(".$this->fileformat.")$/i", $this->ext)) return false;

. V: S' P/ Q. z; J7 i6 Y9 i( f         if(preg_match("/^(php|phtml|php3|php4|jsp|exe|dll|cer|shtml|shtm|asp|asa|aspx|asax|ashx|cgi|fcgi|pl)$/i", $this->ext)) return false;

        return true; 5 T6 C- G w5 Z9 e% L+ K% Z

8 J! P, Y6 |/ p" X     }

( j1 U; E* L, d( m

可以看到这里仅仅对$this->ext进行了检查，如前此时$this->ext为jpg，检查通过。

接着会进行真正的保存。通过$this->set_savepath($this->savepath); $this->set_savename($this->savename);设置了$this->saveto，然后通过move_uploaded_file($this->file, DT_ROOT.'/'.$this->saveto)将file保存到$this->saveto ，注意此时的savepath、savename、saveto均以php为后缀，而$this->file实际指的是第二个jpg文件。 ! q8 ]- g/ t" P r- g5 Z- Z

! z' v2 l' w2 A( F R3 o

0 {+ \- g6 @0 D6 h 漏洞利用

% A- `! O9 _) ^. U$ Z- P' v; S1 O 综上，上传两个文件，其中第一个文件以php为结尾如1.php，用于设置后缀名为php；第二个文件为1.jpg，jpg用于绕过检测，其内容为php一句话木马(图片马)。

9 }& e* e8 D V5 Q! Q3 V# ^

" p: g4 x ]3 G( W2 r) B* h! Q  

& D6 ?# B3 J' G2 W- ?% _4 J0 R5 M, n

& y3 g c7 d) N 然后访问http://127.0.0.1/file/temp/avatar1.php 即可。其中1是自己的_userid

不过实际利用上会有一定的限制。 ! J9 W# U' U; e0 ?/ F

5 i: I8 c/ E$ n% {2 F* y 第一点是destoon使用了伪静态规则，限制了file目录下php文件的执行。 7 b8 F' y! R3 Y# n; L+ ~

/ T" s% F# x; E$ ?1 B; q$ K

 

# g0 }! ~' f9 W! O% @ u! |& W$ P

第二点是avatar.inc.php中在$upload->save()后，会再次对文件进行检查，然后重命名为xx.jpg： / W, b5 n5 G; Z( v. z) D0 ~1 h

省略...$img = array();$img[1] = $dir.'.jpg';$img[2] = $dir.'x48.jpg';$img[3] = $dir.'x20.jpg';$md5 = md5($_username);$dir = DT_ROOT.'/file/avatar/'.substr($md5, 0, 2).'/'.substr($md5, 2, 2).'/_'.$_username;$img[4] = $dir.'.jpg';$img[5] = $dir.'x48.jpg';$img[6] = $dir.'x20.jpg';file_copy($file, $img[1]);file_copy($file, $img[4]);省略... , a" K+ u% ^" e) g0 F# Z, L

2 m$ }. O4 ~; E( }& n! z9 ~6 g 因此要利用成功就需要条件竞争了。

补丁分析

) g% r; K6 G- z/ t* |$ @8 A: D1 F/ v

 

4 Q0 ]8 a0 V2 F

在upload的一开始，就进行一次后缀名的检查。其中is_image如下：

I4 s1 p3 x) e! c

' |( @" D3 H7 |0 ~ h1 ^ E; ~ function is_image($file) {    return preg_match("/^(jpg|jpeg|gif|png|bmp)$/i", file_ext($file));} 3 C B. x! T7 b4 n( A d

6 l9 ] l9 [! c2 q5 U, M

' ?7 ~* q. t2 N. j7 S# m  

6 U2 J# |7 d- V# X. G, ? 在__construct()的foreach中使用了break，获取了第一个文件后就跳出循环。

在is_allow()中增加对$this->savename的二次检查。 : f% |* ^" X( h3 ~

5 Q1 G' ]$ P2 C n9 x+ @4 e 最后 ( f% m: T7 B/ j! y; e

嘛，祝各位大师傅中秋快乐！ ! ~, H9 l6 F1 ~: x/ x7 t, t9 r7 Z& b

+ j0 o. p; H$ [

 

5 P$ _# l* }- J( K5 j" B" W

---

欢迎光临 中国网络渗透测试联盟 (https://www.cobjon.com/)

Powered by Discuz! X3.2