中国网络渗透测试联盟

标题: Destoon cms前台getwebshell [打印本页]

---

作者: admin    时间: 2018-10-20 20:13
标题: Destoon cms前台getwebshell
# T% a- O/ q' m+ k/ ^! a3 s

0 s% H" b8 Y. g: G6 ~- D' D7 P6 e

前言 , W" D0 w/ A6 F1 [% v' j

- x. M4 l: {5 R: @( q; r& g5 x( v

8 v/ Y: @( t# ?4 f; k) Z 2018年9月21日，Destoon官方发布安全更新，修复了由用户“索马里的海贼”反馈的一个漏洞。

4 A, q. Y$ O3 O

  . m( S; \+ ?1 F

漏洞分析 0 v8 q0 q% X. _' J- g& D

$ v4 O( \4 S2 u: O8 i3 W" [

根据更新消息可知漏洞发生在头像上传处。Destoon中处理头像上传的是 module/member/avatar.inc.php 文件。在会员中心处上传头像时抓包，部分内容如下： 3 Y( |+ l+ ~2 V6 p5 c

3 ^( c+ v- t. Z1 ~/ D  

$ C( n% I7 a9 B% L3 r$ D) x8 {

* V* {0 \/ E7 c: J 对应着avatar.inc.php代码如下：

# |$ o. @* {3 I+ p/ v9 M <?php defined('IN_DESTOON') or exit('Access Denied');login();require DT_ROOT.'/module/'.$module.'/common.inc.php';require DT_ROOT.'/include/post.func.php';$avatar = useravatar($_userid, 'large', 0, 2);switch($action) {

% d8 q9 N* S7 R- j: v* B* ~; ^

5 `' t5 j1 j9 D- s9 X' Z9 l7 y' @' I     case 'upload':

9 Q8 b1 c+ S9 x- [: U6 o& Q

& \* B) ?2 ]1 [, z4 }, P6 x         if(!$_FILES['file']['size']) {

3 w- X: H$ {/ L) V' j; V1 V             if($DT_PC) dheader('?action=html&reload='.$DT_TIME); + Q0 B/ k- X& p$ A+ ~7 a; {

            exit('{"error":1,"message":"Error FILE"}'); 9 w- O6 a$ ^& a

8 p( d7 m$ r7 Y. N4 A+ N3 L

* r! w4 Y5 ^8 ?3 H0 s' w9 b         } " i9 B, s0 h% @

# Y" C2 y Q+ L, D% a+ Y' P" U

" q# L- J' O2 `1 ?; v- F2 g         require DT_ROOT.'/include/upload.class.php'; 5 I, M/ F* ^7 X* |8 V" ~, }4 a

 

        $ext = file_ext($_FILES['file']['name']);

        $name = 'avatar'.$_userid.'.'.$ext;

        $file = DT_ROOT.'/file/temp/'.$name;

+ S! ^3 M6 E/ c2 g0 \1 v3 |2 I   W! S0 p/ R' A# i/ F

# q; j, O' Y u. E; Q0 o; |' \2 o9 a

+ f- X3 c# ~& s5 Y2 X9 c         if(is_file($file)) file_del($file); 2 L9 d- [3 O% j3 j* r5 H V: l. s

" }8 s( A }7 I+ t$ U         $upload = new upload($_FILES, 'file/temp/', $name, 'jpg|jpeg|gif|png');

 

7 |) Z4 z: H7 Q5 n. y0 v, e# H# F         $upload->adduserid = false;

 

        if($upload->save()) { : X: _; f* S1 |' Z: r4 _* [

6 U: z( m/ R8 m1 H& |( M! Z L

            ... , h% v! J9 d3 x- Z3 K, D3 b% V

) X9 m# g1 x& J, w; w! M* y

        } else {

2 j% F8 ~2 G- Q. [

! l' `0 [- n6 b. k$ M             ... ! p: @8 O% \1 c0 d& N$ \

5 K8 s, a0 ?( z F8 J

% h; M0 g% J Y8 \0 f1 A         } % f4 v1 i4 s2 @* Q

" O8 f! Q8 F+ S     break;

这里通过$_FILES['file']依次获取了上传文件扩展名$ext、保存临时文件名$name、保存临时文件完整路径$file变量。之后通过new upload();创立一个upload对象，等到$upload->save()时再将文件真正写入。 $ K2 e. L& Y7 ?8 |

: x4 h. d5 [3 F& a9 K9 W7 k upload对象构造函数如下，include/upload.class.php:25：

<?phpclass upload {

: J8 |" G- S# p9 l+ N, C     function __construct($_file, $savepath, $savename = '', $fileformat = '') { 3 j: ` F8 d* c6 j( W# l- N

7 w2 [3 O% \9 C) q* p

- L. l( g: e ^1 y         global $DT, $_userid;

        foreach($_file as $file) { & u& P/ c% T7 l+ b7 q3 {5 d, N% v0 |

            $this->file = $file['tmp_name'];

9 _, D; F8 ?3 g0 K! @% s

            $this->file_name = $file['name'];

8 Y2 U% a2 p) E6 k             $this->file_size = $file['size']; 9 z8 u- o* v7 I6 z+ G% i

& I P# K& J* J3 Q& ^             $this->file_type = $file['type']; 5 z+ y+ R) k9 v; d/ ?0 O* B2 @

            $this->file_error = $file['error']; 5 K3 T& H) y2 N; Y

 

/ D# R% r" t$ V) i8 e7 x4 q

        }

+ S5 I% X: ~8 P- v7 S         $this->userid = $_userid;

; e8 W3 | A7 q! R8 L f

        $this->ext = file_ext($this->file_name); 4 B6 e1 T! W( h+ w+ y

        $this->fileformat = $fileformat ? $fileformat : $DT['uploadtype'];

/ i n; [. c q( E$ n/ x* {( U         $this->maxsize = $DT['uploadsize'] ? $DT['uploadsize']*1024 : 2048*1024;

        $this->savepath = $savepath;

6 g! @2 }- A" j6 K         $this->savename = $savename; : a3 z6 Y4 Q& j) V, w2 A% H8 g

9 T" w5 R$ E( F" M     }}

这里通过foreach($_file as $file)来遍历初始化各项参数。而savepath、savename则是通过__construct($_file, $savepath, $savename = '', $fileformat = '')直接传入参数指定。 2 D. ?0 w6 a$ @$ |3 i9 ]" z" R

3 A6 T, V7 B" B 因此考虑上传了两个文件，第一个文件名是1.php，第二个文件是1.jpg，只要构造合理的表单上传（参考：https://www.cnblogs.com/DeanChopper/p/4673577.html），则在avatar.inc.php中

4 y& `6 |. e/ C

$ M% c, f; t6 v$ r# M, \& s $ext = file_ext($_FILES['file']['name']); // `$ext`即为`php` $name = 'avatar'.$_userid.'.'.$ext; // $name 为 'avatar'.$_userid.'.'php'$file = DT_ROOT.'/file/temp/'.$name; // $file 即为 xx/xx/xx/xx.php ) n; Z4 E" Q+ G7 t. p9 Z9 ?; I

0 `) N3 u R" f, e s; _ 而在upload类中，由于多个文件上传，$this->file、$this->file_name、$this->file_type将foreach在第二次循环中被置为jpg文件。测试如下：

) { p# p. F) L# v9 I8 m

  * b" ] R" O5 X3 u$ R% K

2 G8 H4 c9 o Y* v+ M5 W: X3 c

回到avatar.inc.php，当进行文件保存时调用$upload->save()，include/upload.class.php:50:

( V/ z8 g' L y3 h) v <?phpclass upload {

. ?9 f6 b! R; E2 Q     function save() {

        include load('include.lang');

1 U5 l: [) B" c) ?: t+ F: o0 b

        if($this->file_error) return $this->_('Error(21)'.$L['upload_failed'].' ('.$L['upload_error_'.$this->file_error].')');

& }' B' U3 L0 E. y2 k1 i5 _# Z   ) ?' v/ `+ B; L

+ Y: G! i- Q: Y$ \3 L3 ]

        if($this->maxsize > 0 && $this->file_size > $this->maxsize) return $this->_('Error(22)'.$L['upload_size_limit'].' ('.intval($this->maxsize/1024).'Kb)');

# L% \) Z" N: @, v3 b  

9 f% q) O2 T+ ~6 X- C         if(!$this->is_allow()) return $this->_('Error(23)'.$L['upload_not_allow']); : d. g8 t4 `& u) m% ^, l

* s6 Y4 E6 T/ ~ k- [2 @( }( j

 

        $this->set_savepath($this->savepath); " s' O" _& f+ C. `

        $this->set_savename($this->savename); 2 z- R k4 h0 d) X3 y4 V1 g

2 T2 g9 f# I' g) l: e$ n+ S4 x   : U7 b9 x/ M, ~% F/ `$ ], ]

1 R5 k$ A) i* [( v' |! e# d d         if(!is_writable(DT_ROOT.'/'.$this->savepath)) return $this->_('Error(24)'.$L['upload_unwritable']);

6 B$ u7 n! ~8 I1 B* ^

7 |- _! r4 g- G# k6 K I/ o         if(!is_uploaded_file($this->file)) return $this->_('Error(25)'.$L['upload_failed']); $ x) ^( L* U0 Q* u

        if(!move_uploaded_file($this->file, DT_ROOT.'/'.$this->saveto)) return $this->_('Error(26)'.$L['upload_failed']);

  $ P/ h* G* E1 w) W' E4 b9 h

. J8 y- K+ F: `5 ]

        $this->image = $this->is_image();

4 M: Z8 P& x1 O" Q! r

        if(DT_CHMOD) @chmod(DT_ROOT.'/'.$this->saveto, DT_CHMOD);

4 y" ]: ]) i8 M( G6 S: l# S

        return true; 8 x0 V0 F* |1 R/ g

    }} ; v' p _) u: Z" r& j

先经过几个基本参数的检查，然后调用$this->is_allow()来进行安全检查 include/upload.class.php:72： 2 q7 E2 Y* Y3 J, V% n5 C+ @9 r

# x8 e/ z) s1 w% W! V

4 s0 U. N% j2 W9 D7 p% |9 s8 A <?php

7 d. S K( p% H) X& a0 P z$ g     function is_allow() {

. D* N3 _3 y/ Y1 H/ ?         if(!$this->fileformat) return false; 5 u$ S' `) ]& d

1 ~+ y0 h' F1 Z: v) A

& h1 U: h* z2 R         if(!preg_match("/^(".$this->fileformat.")$/i", $this->ext)) return false;

2 b( h2 I/ T! Y( J% H M" `( Y) r         if(preg_match("/^(php|phtml|php3|php4|jsp|exe|dll|cer|shtml|shtm|asp|asa|aspx|asax|ashx|cgi|fcgi|pl)$/i", $this->ext)) return false; 2 S/ _4 j t7 t1 Q( Y! P9 c

$ L2 [$ P: G4 m E( A         return true; ; q; {4 _! y* E3 y5 U+ [

! Q5 t4 O: S, d/ ^. g; A

    } 7 k8 s9 x9 |' t' V q8 v D

7 m3 y( b1 R" t3 U# K' R

可以看到这里仅仅对$this->ext进行了检查，如前此时$this->ext为jpg，检查通过。 & `& t' k4 f5 o% n

+ a- n3 P6 I ?# A 接着会进行真正的保存。通过$this->set_savepath($this->savepath); $this->set_savename($this->savename);设置了$this->saveto，然后通过move_uploaded_file($this->file, DT_ROOT.'/'.$this->saveto)将file保存到$this->saveto ，注意此时的savepath、savename、saveto均以php为后缀，而$this->file实际指的是第二个jpg文件。 ( {, G# {# s; D8 U3 T

漏洞利用 ! l+ O o& y" I6 \

, b+ g/ y$ h" B/ Z4 j' K1 L

0 v; M" X6 X* e( T3 ^/ @- x' @ 综上，上传两个文件，其中第一个文件以php为结尾如1.php，用于设置后缀名为php；第二个文件为1.jpg，jpg用于绕过检测，其内容为php一句话木马(图片马)。

; ]! [: w( [, k% M# }- w: Y  

* m) O# U& |6 W" O0 H

$ H$ S* O1 }8 J0 M 然后访问http://127.0.0.1/file/temp/avatar1.php 即可。其中1是自己的_userid

+ j1 r4 O. s$ S+ N

不过实际利用上会有一定的限制。 3 ]2 T1 X/ S% |! k

2 g6 C3 N% a9 u6 s; H4 T

第一点是destoon使用了伪静态规则，限制了file目录下php文件的执行。 ( M- T4 g' N) m( h. f9 U; o

( Q7 t1 b. K) C# ~

 

第二点是avatar.inc.php中在$upload->save()后，会再次对文件进行检查，然后重命名为xx.jpg：

省略...$img = array();$img[1] = $dir.'.jpg';$img[2] = $dir.'x48.jpg';$img[3] = $dir.'x20.jpg';$md5 = md5($_username);$dir = DT_ROOT.'/file/avatar/'.substr($md5, 0, 2).'/'.substr($md5, 2, 2).'/_'.$_username;$img[4] = $dir.'.jpg';$img[5] = $dir.'x48.jpg';$img[6] = $dir.'x20.jpg';file_copy($file, $img[1]);file_copy($file, $img[4]);省略...

" a0 m5 a7 M1 |* ]! x3 p: _$ h* e 因此要利用成功就需要条件竞争了。

补丁分析 . n2 p, N% W+ F* n; W1 h e5 w

1 q4 C+ E$ a8 p. `

- f+ ~9 Q) ?" O' Y5 A+ _  

在upload的一开始，就进行一次后缀名的检查。其中is_image如下：

4 d) Z- }0 ]. e function is_image($file) {    return preg_match("/^(jpg|jpeg|gif|png|bmp)$/i", file_ext($file));} ' @1 c/ {# w. }2 d2 y6 C+ z

+ o' ?- v9 a4 F& `. I

; O) V% o; H$ ^0 M   % s( `- H: D8 _4 F0 e% _/ \

在__construct()的foreach中使用了break，获取了第一个文件后就跳出循环。

9 T8 r& y5 V* t+ J5 t5 r( T: x$ A

- g& i- |$ ^- [3 S% Y 在is_allow()中增加对$this->savename的二次检查。 $ w3 t8 e2 y4 |3 o3 Z, @3 [1 {9 a/ E) U

: ^8 G* s/ M6 X2 H5 R$ S

最后 - Y6 s: f2 p5 T6 U+ h: A6 b) p

. D$ |3 {; [3 A% |3 Z+ M

嘛，祝各位大师傅中秋快乐！

8 r8 ]! V- n: j+ ]* J) s( D0 K  

2 n2 p; H4 R. k8 E3 V- ~& p) t3 i

---

欢迎光临 中国网络渗透测试联盟 (https://www.cobjon.com/)

Powered by Discuz! X3.2