中国网络渗透测试联盟

标题: Destoon cms前台getwebshell [打印本页]

---

作者: admin    时间: 2018-10-20 20:13
标题: Destoon cms前台getwebshell
+ q- m' T5 T! w( t

9 ^! O2 b2 ], C) F5 a

前言 : r5 g3 z1 ^2 B! D6 a* P

: T' Y D( }1 H( h* \5 U 2018年9月21日，Destoon官方发布安全更新，修复了由用户“索马里的海贼”反馈的一个漏洞。 ! U$ h8 k. ^6 N; M8 j( }

' c' M2 Q- V! ^( P: k

 

3 b2 l' w( D* p 漏洞分析

根据更新消息可知漏洞发生在头像上传处。Destoon中处理头像上传的是 module/member/avatar.inc.php 文件。在会员中心处上传头像时抓包，部分内容如下：

7 t) f, g# O% w& M+ `4 G% Q

( i2 _5 s6 H, `( R) `   7 U$ P1 c q" s) G) g! Y0 K) t9 j

& e) h0 w- E* I) w3 b* T9 C

2 \! o4 K- m% x3 I/ f 对应着avatar.inc.php代码如下：

% J; t. H4 p6 p' X; u4 |

2 ~: J9 n+ A. b1 i <?php defined('IN_DESTOON') or exit('Access Denied');login();require DT_ROOT.'/module/'.$module.'/common.inc.php';require DT_ROOT.'/include/post.func.php';$avatar = useravatar($_userid, 'large', 0, 2);switch($action) {

* }) y* c! Q: W

{. D: S. j9 S% `. e5 j7 i     case 'upload':

( ?9 ?* Y! o& E) o* S# Q

1 ?! R" O& x, y i4 z" O# _         if(!$_FILES['file']['size']) {

. Q. t8 E. F+ Y0 O- ~1 I

            if($DT_PC) dheader('?action=html&reload='.$DT_TIME);

+ M X* g4 k4 h1 I3 H0 c) v: f             exit('{"error":1,"message":"Error FILE"}');

8 O7 m8 U0 Y$ p

`" E* U1 g1 ?; k9 `, A& ]0 v1 h         }

8 C- L- f4 `, T# c

        require DT_ROOT.'/include/upload.class.php'; ; P6 [# N/ X9 @

2 h5 M4 q! ~3 b4 o$ d  

1 a5 s5 @& t( l0 q! e6 N1 p' F

) b' i: z' m* {8 f$ ?8 k) f1 |/ C         $ext = file_ext($_FILES['file']['name']);

0 H! Y% O( S- `$ O' n' @" |

( w- |- F2 C: R/ h9 Z         $name = 'avatar'.$_userid.'.'.$ext;

2 p* n8 j2 L R& F! l

        $file = DT_ROOT.'/file/temp/'.$name;

  0 I2 Z7 { U& ^: I/ F8 A: [

: X% l$ Q) W% K

7 {& {- l' Y6 `# s1 K# }/ x6 R* v         if(is_file($file)) file_del($file); c+ L! K" t* X& m" ]& r0 X, w2 n

/ k8 } H- }9 n( S

0 z5 r5 j) |& ?' f# n         $upload = new upload($_FILES, 'file/temp/', $name, 'jpg|jpeg|gif|png');

x$ S7 g6 J! d9 q, z* w, ?4 ~   / ]) t3 _& ~& {. } f

! M2 e/ @( H) q" O0 R, ]; I |! c9 p

        $upload->adduserid = false;

  6 v+ |6 u. I8 B/ \9 d

        if($upload->save()) {

            ...

( Q, ]6 w" k) s

: ?4 l' [/ N1 d* d0 f" S/ {         } else {

, U3 Y+ T7 P4 i. `2 Y: d

- G# c$ H: T. ^             ...

1 S# b- w) f/ z V         } 0 d/ H! K6 L8 h: w4 W y

    break; ; o7 t' b6 B5 f; Z. d/ C

这里通过$_FILES['file']依次获取了上传文件扩展名$ext、保存临时文件名$name、保存临时文件完整路径$file变量。之后通过new upload();创立一个upload对象，等到$upload->save()时再将文件真正写入。

8 c6 ^ p0 U. F0 f

" q6 t# k- R" [; v' c" _ upload对象构造函数如下，include/upload.class.php:25： % L( c! f& C2 ]% H) N' f

, j% I% Y: J" X

$ x0 V4 J2 B H- Q5 t5 C <?phpclass upload { % M$ h% h" f7 |7 x

" ` y* Z, v# @, h3 _/ j. r     function __construct($_file, $savepath, $savename = '', $fileformat = '') {

        global $DT, $_userid; 6 I3 t, r a2 ^& L! B' Q

        foreach($_file as $file) {

            $this->file = $file['tmp_name']; # ?& Q5 k& L, F+ M* r w$ x9 i

% e! ?$ H! }) X9 M1 |. B, R U; _4 q

            $this->file_name = $file['name']; 2 {& b1 L- q- ], I$ G7 x# M' ~ R1 v' a

' m! D' }! L& @9 e

            $this->file_size = $file['size']; " P+ N8 _0 A; a) f5 f/ q$ c5 w

% m) `4 [' W8 ]6 F" h9 G1 X

, o& |9 r1 {' e+ D( Q             $this->file_type = $file['type'];

' H3 S, Z6 N) \- Q

            $this->file_error = $file['error'];

0 o0 W3 Y- Q: `; ?) ^( Q/ R   ) @0 Z8 \7 g* {' Y9 O# r

% y: o3 w1 D2 R( t

        } ' F5 e) V1 L0 t6 a4 H7 ~5 Y

9 {" c t7 Q2 I2 I& c3 M         $this->userid = $_userid;

7 D9 T9 S7 p& }. O1 B0 D1 l, W

3 T$ e% V1 D2 z5 \+ J$ m         $this->ext = file_ext($this->file_name); + Y! C& T6 u: N

& D/ v) ?& t9 z/ Z" e

        $this->fileformat = $fileformat ? $fileformat : $DT['uploadtype']; 9 } r2 W P" J- N1 t

: Q( _6 [) }8 n/ i/ r6 Z2 S         $this->maxsize = $DT['uploadsize'] ? $DT['uploadsize']*1024 : 2048*1024; + o) J- c# b- d0 f9 Y% i

- c0 H$ U }8 k( [

1 j* g- R" l/ r         $this->savepath = $savepath; 2 w z9 R+ e! E+ }: ^$ d

7 R3 i: U/ I+ F B

        $this->savename = $savename; 5 R+ P$ a: g8 d; K: [

$ U# ]" u: ~; O" K( t' h! c

    }} ' v- v" O/ o% F5 P1 H/ G

2 a! ^$ b0 |. I- f% Z: Q 这里通过foreach($_file as $file)来遍历初始化各项参数。而savepath、savename则是通过__construct($_file, $savepath, $savename = '', $fileformat = '')直接传入参数指定。 * `, a/ ^% v. W: ~+ f+ F% d

因此考虑上传了两个文件，第一个文件名是1.php，第二个文件是1.jpg，只要构造合理的表单上传（参考：https://www.cnblogs.com/DeanChopper/p/4673577.html），则在avatar.inc.php中 % L# P7 n5 ]8 {5 t* s0 R# ~

$ext = file_ext($_FILES['file']['name']); // `$ext`即为`php` $name = 'avatar'.$_userid.'.'.$ext; // $name 为 'avatar'.$_userid.'.'php'$file = DT_ROOT.'/file/temp/'.$name; // $file 即为 xx/xx/xx/xx.php / ]5 n t7 B' s0 @

" M8 Q, M- V8 N: Q9 \ 而在upload类中，由于多个文件上传，$this->file、$this->file_name、$this->file_type将foreach在第二次循环中被置为jpg文件。测试如下：

8 @; p9 }) q: M$ j& u( I5 z5 p

8 P5 g$ y% E7 b   " r# Q. j5 [, a

回到avatar.inc.php，当进行文件保存时调用$upload->save()，include/upload.class.php:50: + w# O+ k: _, B2 v5 M; |

<?phpclass upload {

    function save() {

( M% S1 X' V5 r$ k V         include load('include.lang'); " k: n% r3 V* q8 K5 W3 w/ c U

        if($this->file_error) return $this->_('Error(21)'.$L['upload_failed'].' ('.$L['upload_error_'.$this->file_error].')');

: ^+ e% {: n% r* G1 ~, \4 Z3 M

9 {2 u b. e, z7 B# T3 ~   ! V* P8 d9 C4 ]. b3 w7 b- { h/ }) X

+ y* w# `, i( [+ j5 _# N         if($this->maxsize > 0 && $this->file_size > $this->maxsize) return $this->_('Error(22)'.$L['upload_size_limit'].' ('.intval($this->maxsize/1024).'Kb)');

% ~) Z8 n: E, r

  + F4 e0 p1 o; o; j- v

8 A9 b+ l! l0 h# f

        if(!$this->is_allow()) return $this->_('Error(23)'.$L['upload_not_allow']);

9 r w8 D" I X

1 A6 j( Q6 L% }/ r* ]# }8 t/ \   1 y- M2 ?$ B1 P+ Z$ O% S2 r2 p

9 K5 A! a: M0 R" J

        $this->set_savepath($this->savepath);

        $this->set_savename($this->savename);

! a1 m7 L8 F' i w6 m6 _* l

8 h! Q/ t4 i7 X, Y# x   " L, y( ?1 ]% ^

! H% y) Q& E* s( T g( e         if(!is_writable(DT_ROOT.'/'.$this->savepath)) return $this->_('Error(24)'.$L['upload_unwritable']);

        if(!is_uploaded_file($this->file)) return $this->_('Error(25)'.$L['upload_failed']); ' @( H/ M& \5 C, z

2 [# p& [+ r+ ]9 V, G

        if(!move_uploaded_file($this->file, DT_ROOT.'/'.$this->saveto)) return $this->_('Error(26)'.$L['upload_failed']); * ?4 T* V7 ^! }) x3 M* Y, F" k0 T

/ _7 W% h0 W5 r2 E2 H0 Y   3 X( X$ R8 g0 [2 w$ D' q

8 `/ Z B0 f: s T5 t

' @9 T) f8 P. B# n2 k4 m; G# K         $this->image = $this->is_image(); 6 L2 [ Y9 J) L/ H, {, W2 W

. }9 W# s" C8 E8 V& q% n

        if(DT_CHMOD) @chmod(DT_ROOT.'/'.$this->saveto, DT_CHMOD);

        return true; ( {$ p% t6 D& W6 S$ D+ s0 a$ \

" m% G, s4 B% D; K1 r! d     }}

/ n6 }6 o7 q5 I. E1 L9 [

) k. ]8 X4 V" o0 d3 E: t2 }% Y! E 先经过几个基本参数的检查，然后调用$this->is_allow()来进行安全检查 include/upload.class.php:72： ! y2 b& a% o2 V% |) o& a# e

h+ W+ s F2 o/ ~8 z

2 ^! |9 R, c: Y <?php

& t. s: |0 D f! j2 d! e$ h/ Y) E

* U! Q- v6 b+ ?: O" Q# N. P     function is_allow() { : w+ t, f1 h: F

        if(!$this->fileformat) return false; 6 [2 S& X5 o: t6 H% j4 W9 M# l

9 W% {* ?7 H M- n3 K

        if(!preg_match("/^(".$this->fileformat.")$/i", $this->ext)) return false; ; G/ A/ V/ k o6 {/ \; }# j

$ ]" f/ c# o; \0 C8 B8 _+ V         if(preg_match("/^(php|phtml|php3|php4|jsp|exe|dll|cer|shtml|shtm|asp|asa|aspx|asax|ashx|cgi|fcgi|pl)$/i", $this->ext)) return false; ( r) ^' i# U5 v6 {6 r

, d s3 ~6 J& {5 I         return true;

( b5 ?) l, k9 k& I ^

    }

( r& N4 v- k M: r! \% O* t

可以看到这里仅仅对$this->ext进行了检查，如前此时$this->ext为jpg，检查通过。 , T" c& [+ _: T3 h& o& z

接着会进行真正的保存。通过$this->set_savepath($this->savepath); $this->set_savename($this->savename);设置了$this->saveto，然后通过move_uploaded_file($this->file, DT_ROOT.'/'.$this->saveto)将file保存到$this->saveto ，注意此时的savepath、savename、saveto均以php为后缀，而$this->file实际指的是第二个jpg文件。 - x8 I: ~0 @8 P. r. f7 c1 M) t

q) E ]9 X' U3 r; s

漏洞利用 7 G6 E. S0 c; R& y' O' \

综上，上传两个文件，其中第一个文件以php为结尾如1.php，用于设置后缀名为php；第二个文件为1.jpg，jpg用于绕过检测，其内容为php一句话木马(图片马)。

3 _: U9 k/ W6 `9 o# B+ }- j( m( u

  8 U. ^6 c+ R( w3 r1 v+ y; h

+ \3 _" g2 y2 i

然后访问http://127.0.0.1/file/temp/avatar1.php 即可。其中1是自己的_userid 5 I0 A- @1 ~+ q% Q, v

9 _* G, A3 ]6 W: x) W" L" f 不过实际利用上会有一定的限制。 8 Q" M: A( D# k- @" D

2 F, E7 |2 q/ D- w3 _

第一点是destoon使用了伪静态规则，限制了file目录下php文件的执行。 * q, c9 B* s+ h# @0 \) V: Q

6 r- p3 C4 p/ t+ E0 j! H$ S( l6 N- o

; l" g( ^1 r2 v$ P2 ?( c   8 N; P/ i( V2 G0 M4 Y5 g* k

第二点是avatar.inc.php中在$upload->save()后，会再次对文件进行检查，然后重命名为xx.jpg：

% V3 |9 p; ^2 ]! K" a: @) Q

- U/ o+ Y8 [; O2 p7 e( N, v5 \ 省略...$img = array();$img[1] = $dir.'.jpg';$img[2] = $dir.'x48.jpg';$img[3] = $dir.'x20.jpg';$md5 = md5($_username);$dir = DT_ROOT.'/file/avatar/'.substr($md5, 0, 2).'/'.substr($md5, 2, 2).'/_'.$_username;$img[4] = $dir.'.jpg';$img[5] = $dir.'x48.jpg';$img[6] = $dir.'x20.jpg';file_copy($file, $img[1]);file_copy($file, $img[4]);省略... 6 ]+ B; u" K" q8 |9 x

) @" i/ L) l7 s; {+ q 因此要利用成功就需要条件竞争了。

" B* S* @3 Y' v7 j0 @2 @

补丁分析 6 j& `% f( Z1 p0 r9 ]

q* M; ]% S; h+ w9 H$ Z   & j U8 R4 U [5 P3 K

在upload的一开始，就进行一次后缀名的检查。其中is_image如下： * K4 r- b9 g: w% }& `! f

function is_image($file) {    return preg_match("/^(jpg|jpeg|gif|png|bmp)$/i", file_ext($file));}

! i8 l9 h- k" k7 r3 p( M  

在__construct()的foreach中使用了break，获取了第一个文件后就跳出循环。

在is_allow()中增加对$this->savename的二次检查。 ! n* U. F0 o: x q2 J9 P% a

最后

) Z, f4 V3 X# p" i6 h

嘛，祝各位大师傅中秋快乐！

& u% W" Q7 ?* t% l' p

" K D9 B3 l6 b4 L5 l- Y- ~   4 e; x# l, N" B1 c8 s

---

欢迎光临 中国网络渗透测试联盟 (https://www.cobjon.com/)

Powered by Discuz! X3.2