中国网络渗透测试联盟

标题: Destoon cms前台getwebshell [打印本页]

---

作者: admin    时间: 2018-10-20 20:13
标题: Destoon cms前台getwebshell

/ [- V( n! y3 {! _

# @. _2 L6 d4 P9 p8 {* d- v1 \ 前言 - m8 H' H; {% C5 Q

8 ^ j2 J/ h' x, R. o1 R; h/ H

2018年9月21日，Destoon官方发布安全更新，修复了由用户“索马里的海贼”反馈的一个漏洞。

, x) r4 Q$ _# o; @0 }; d

  4 m" ?' q# J7 X3 @, p5 |

+ V R+ k* {* t1 t& ^ 漏洞分析

/ q( B. d! j+ j8 x( X 根据更新消息可知漏洞发生在头像上传处。Destoon中处理头像上传的是 module/member/avatar.inc.php 文件。在会员中心处上传头像时抓包，部分内容如下：

 

对应着avatar.inc.php代码如下：

5 u0 O& B+ V, P

) r# [1 K6 P2 Q$ w2 h& |! L; j <?php defined('IN_DESTOON') or exit('Access Denied');login();require DT_ROOT.'/module/'.$module.'/common.inc.php';require DT_ROOT.'/include/post.func.php';$avatar = useravatar($_userid, 'large', 0, 2);switch($action) {

3 y3 T" c+ x% z8 g W     case 'upload': + {. k( A9 _( a7 D5 N p

* c5 S" s4 \) l4 J$ F' J

+ C# L* [$ ]* z3 A         if(!$_FILES['file']['size']) {

$ l' J5 a7 r3 [

            if($DT_PC) dheader('?action=html&reload='.$DT_TIME); ( |, z& i2 F# ^9 |) w# C( Q" g

* ?( ^7 Y7 n2 W: a

            exit('{"error":1,"message":"Error FILE"}');

& x9 A6 Z0 G( |0 s$ E( r         } 8 X8 q6 ]2 ^- h% S) i

        require DT_ROOT.'/include/upload.class.php';

! L: P7 _9 f& L. [' u* n" s4 n8 }

5 \& Y8 p: E0 ?5 V! _/ [; S8 E   ; I- y' F, {$ p

+ L# L$ R0 X! Y. g; x6 R

- u* J. C! Y; q# z1 }* K# N2 B1 f         $ext = file_ext($_FILES['file']['name']); 5 ]) L& H7 ?2 {$ ^/ M* {

7 H+ N. L7 a0 u

5 g5 m- l) N& Y- u         $name = 'avatar'.$_userid.'.'.$ext;

+ S3 Y$ y. [1 i8 x$ p* D# l3 N

        $file = DT_ROOT.'/file/temp/'.$name;

5 L' J$ V- G- v6 `( D   [2 z0 N9 ?6 _* e( @' b% ^

/ p9 |! l" H" C E! N% f Z) R0 s

        if(is_file($file)) file_del($file);

9 I; E Q( D/ O" q. ~, J0 i5 B" t

        $upload = new upload($_FILES, 'file/temp/', $name, 'jpg|jpeg|gif|png');

2 M. B: Z2 u9 F8 _. ?: _

- k1 J4 ?9 z/ R/ E! d. X; N- V& J: f. J: n  

1 X; B$ r- w7 t$ u0 d         $upload->adduserid = false; + j8 c' u! W: n; c3 U# F1 |

" O" ] x/ ], n* V   ) L, w% ~: M0 V* z0 j

8 f# i5 x/ Z( L( p. ^6 q }         if($upload->save()) {

9 [$ B: L: h$ c9 x4 f

            ...

        } else {

7 m4 W4 |# {2 X( e

            ...

0 y( X# t; |, {, p

        } Z) p4 m) t! d* m7 ]7 R; I

# _0 b! b5 e& u6 ^     break;

1 G! {' u. R4 M1 k8 K 这里通过$_FILES['file']依次获取了上传文件扩展名$ext、保存临时文件名$name、保存临时文件完整路径$file变量。之后通过new upload();创立一个upload对象，等到$upload->save()时再将文件真正写入。

: s4 R A# I8 @; V

6 m# O6 a" J1 e$ A. D upload对象构造函数如下，include/upload.class.php:25：

7 @7 C6 H% I% I6 T3 ^( U <?phpclass upload { 5 E; m5 m, k4 Q4 O7 t0 `

, S8 N8 V+ q, ?7 K

    function __construct($_file, $savepath, $savename = '', $fileformat = '') {

* g% b2 y0 v, J8 F

* _6 f# u7 M) p         global $DT, $_userid; 6 @. i4 K# f1 d( r1 |& @+ E

& }* L7 x# h; t$ k

        foreach($_file as $file) { 0 \! ]1 Y. v2 ?6 h1 V% o

* `- q# ^7 b7 V: J: y4 Q* U @             $this->file = $file['tmp_name'];

* S5 e. ~ Q( |# p7 [

# i6 f7 Y1 T) l; e# u! G8 I# K5 w             $this->file_name = $file['name'];

            $this->file_size = $file['size'];

/ i& r7 P! M! S+ G8 \& |

, T" w) | o9 n, [* P             $this->file_type = $file['type'];

$ I- V- D9 O' B9 }2 @- j# b             $this->file_error = $file['error']; ; K* m: {" [' e# q& l/ b3 E' r

, p9 l6 ?' t; ?- x* a6 U9 d

; n2 P' H6 Z f! }+ C- \$ V7 i. G/ I3 b  

        }

) q! _6 k) J2 \' o8 _, r6 f( g! y

        $this->userid = $_userid;

) Q) }2 i% r; {. c

        $this->ext = file_ext($this->file_name); ' s# X# }8 n0 T- m' p

, K! ]! t' U( a$ r) h: H/ G! _

        $this->fileformat = $fileformat ? $fileformat : $DT['uploadtype'];

x5 A4 k, _2 \( v; |- E7 R         $this->maxsize = $DT['uploadsize'] ? $DT['uploadsize']*1024 : 2048*1024; ! ~% u4 M0 y# Z' w, r

, \+ Y% L6 u5 Z* [: b/ B% Z

2 q; [0 F; D4 J# \9 o         $this->savepath = $savepath; ! f9 E$ ^$ p/ O1 b \

4 A M6 n- ~: N, o5 Y/ F

        $this->savename = $savename; 3 t3 m% r8 `/ u! t. y8 ~" i8 r6 H

G9 r1 t6 ?5 }+ a( V     }}

, Z$ D8 I; I [. X# h# S; c 这里通过foreach($_file as $file)来遍历初始化各项参数。而savepath、savename则是通过__construct($_file, $savepath, $savename = '', $fileformat = '')直接传入参数指定。

: p- B5 C& l$ p3 g3 x r+ P, ^0 q, a

$ o c1 W( v- n+ }& C 因此考虑上传了两个文件，第一个文件名是1.php，第二个文件是1.jpg，只要构造合理的表单上传（参考：https://www.cnblogs.com/DeanChopper/p/4673577.html），则在avatar.inc.php中 7 j! G$ M" T( m h- z

& g+ A: d4 d: ~: ~; C

9 _! c& h& q+ p $ext = file_ext($_FILES['file']['name']); // `$ext`即为`php` $name = 'avatar'.$_userid.'.'.$ext; // $name 为 'avatar'.$_userid.'.'php'$file = DT_ROOT.'/file/temp/'.$name; // $file 即为 xx/xx/xx/xx.php

而在upload类中，由于多个文件上传，$this->file、$this->file_name、$this->file_type将foreach在第二次循环中被置为jpg文件。测试如下： 1 t& F9 R1 j0 ?

+ o" i c' g/ v& u" U

- v2 {# J+ p6 ] Q  

回到avatar.inc.php，当进行文件保存时调用$upload->save()，include/upload.class.php:50: 3 G' s: b3 s0 O& P9 s

/ q: R6 N5 l) z2 p% O" w. x; F <?phpclass upload {

6 I0 G/ J m" Q) j: ~

    function save() {

2 d3 @) Y# d5 ]" H* u

        include load('include.lang'); 7 V7 W) V' R- o( o$ A4 j

* J) `, i7 L3 W; V         if($this->file_error) return $this->_('Error(21)'.$L['upload_failed'].' ('.$L['upload_error_'.$this->file_error].')'); 0 g1 |! n; ]0 c$ |

2 @4 L5 t c, H& _# R$ q

5 \4 e9 z1 |4 [! l  

+ _8 o2 P7 a" q; U3 J5 ~$ j) C         if($this->maxsize > 0 && $this->file_size > $this->maxsize) return $this->_('Error(22)'.$L['upload_size_limit'].' ('.intval($this->maxsize/1024).'Kb)'); * b/ @$ J3 ]6 j N$ S. V* p4 k

  & E+ l$ ^0 F! {% I

3 x0 |( A5 i; a, Y; ^' @         if(!$this->is_allow()) return $this->_('Error(23)'.$L['upload_not_allow']); C% q6 O' X$ N! ?

* F* q, h# |' [: ?

. A. E( `* M0 G   3 V+ p. a0 w7 S5 Z" l6 M0 D. e

        $this->set_savepath($this->savepath); ( M L4 F( e- B$ {8 ]2 G8 G

4 d% _' d- W" O. z ?         $this->set_savename($this->savename);

8 x, {1 W/ K& R2 ^: X

 

& C; ~ R9 h8 e" }7 n1 `( c         if(!is_writable(DT_ROOT.'/'.$this->savepath)) return $this->_('Error(24)'.$L['upload_unwritable']); 8 _9 h+ \3 k3 ~- {* p" ^

2 g# g; `$ N! [2 e0 V         if(!is_uploaded_file($this->file)) return $this->_('Error(25)'.$L['upload_failed']);

) ^4 P/ ~0 T, _1 y         if(!move_uploaded_file($this->file, DT_ROOT.'/'.$this->saveto)) return $this->_('Error(26)'.$L['upload_failed']);

1 _2 k+ H9 H( E( r# f

 

, E9 f1 l9 w9 G2 ~) _. Y6 ^6 r

        $this->image = $this->is_image(); ; @8 @$ F1 g4 `5 j, r

, c, G' p. F9 Z% l7 G2 N

        if(DT_CHMOD) @chmod(DT_ROOT.'/'.$this->saveto, DT_CHMOD);

% n) P) G2 c* j3 a1 `         return true;

% i. I& X: G. G7 v7 N8 |. K/ Q

% @1 o3 V5 P7 p, i, q( W     }}

; s- b3 m% U9 k( N# Q

9 U a& }% o v, e 先经过几个基本参数的检查，然后调用$this->is_allow()来进行安全检查 include/upload.class.php:72： $ x: N0 e8 R" b+ c: N

" \' Q1 ^( Q7 z- H. x6 w* F7 t! S

; q7 ]4 }. i6 s7 @0 d) N <?php . C0 }( D/ b0 H( M8 o

    function is_allow() { ' j; h* d6 {- i3 ]1 ~

        if(!$this->fileformat) return false; : R, [4 _3 K5 K2 F

6 h% ]9 L: E; v

; m- ~6 X) Q$ R         if(!preg_match("/^(".$this->fileformat.")$/i", $this->ext)) return false;

9 [% t% _& A7 O3 X3 s# e3 r

! }6 v! W* p( L) u: o         if(preg_match("/^(php|phtml|php3|php4|jsp|exe|dll|cer|shtml|shtm|asp|asa|aspx|asax|ashx|cgi|fcgi|pl)$/i", $this->ext)) return false; $ P3 w6 x2 W5 X% K2 \; ^3 g

- A) w7 x- f) \# ~+ r3 m

. c8 c5 ]4 e) y8 X+ b- }/ k, {/ j         return true; ]0 v: c y1 T: x, G

    }

2 P$ {4 R1 t+ W2 l$ O 可以看到这里仅仅对$this->ext进行了检查，如前此时$this->ext为jpg，检查通过。

6 \( A+ F' n& @% J 接着会进行真正的保存。通过$this->set_savepath($this->savepath); $this->set_savename($this->savename);设置了$this->saveto，然后通过move_uploaded_file($this->file, DT_ROOT.'/'.$this->saveto)将file保存到$this->saveto ，注意此时的savepath、savename、saveto均以php为后缀，而$this->file实际指的是第二个jpg文件。 ) i0 F1 n- a2 `! u# L6 V6 W" O+ g& U

* L: m7 V7 w. d, p

漏洞利用 $ G* [6 d! R: q% @( B- f

综上，上传两个文件，其中第一个文件以php为结尾如1.php，用于设置后缀名为php；第二个文件为1.jpg，jpg用于绕过检测，其内容为php一句话木马(图片马)。

 

4 L8 M. U5 O* I

然后访问http://127.0.0.1/file/temp/avatar1.php 即可。其中1是自己的_userid , C* b! w* V* F1 K

+ q6 E: }( u2 N

# L) L. D6 n! C 不过实际利用上会有一定的限制。 9 y5 Y& c! W4 [& ?( X8 B. w% q

第一点是destoon使用了伪静态规则，限制了file目录下php文件的执行。 0 x1 l4 |/ Z3 K" u2 V2 s

( ^% C/ `: K' |% ^1 G

( x# Q% J) P0 }0 r   7 h9 y4 B7 F7 Z# X7 [% ~

/ \9 a' T7 l* U' b4 t+ t/ E

第二点是avatar.inc.php中在$upload->save()后，会再次对文件进行检查，然后重命名为xx.jpg：

省略...$img = array();$img[1] = $dir.'.jpg';$img[2] = $dir.'x48.jpg';$img[3] = $dir.'x20.jpg';$md5 = md5($_username);$dir = DT_ROOT.'/file/avatar/'.substr($md5, 0, 2).'/'.substr($md5, 2, 2).'/_'.$_username;$img[4] = $dir.'.jpg';$img[5] = $dir.'x48.jpg';$img[6] = $dir.'x20.jpg';file_copy($file, $img[1]);file_copy($file, $img[4]);省略... : Z5 a" z% Y9 I/ w

/ k2 D& M" c' u [- A

+ q- N! f: f2 f6 x 因此要利用成功就需要条件竞争了。

) u1 S2 ^4 |( B2 o

补丁分析 , _2 [9 ^ z2 m. Z/ C

* F; p# S5 `% A4 S ]/ K) o  

! p, T, K8 l+ K" g# U' |, _7 x" p% K& a 在upload的一开始，就进行一次后缀名的检查。其中is_image如下： , H! [1 b9 `8 j/ G5 x1 P

function is_image($file) {    return preg_match("/^(jpg|jpeg|gif|png|bmp)$/i", file_ext($file));} ! L. c0 R2 X! v4 l3 J

3 h( N5 p% x8 d7 _6 P' }

  9 I+ `' D B2 D) C9 [; x* R3 Q

在__construct()的foreach中使用了break，获取了第一个文件后就跳出循环。 " t4 k& Y: N% U# r$ i9 a

( r* t0 D. e4 W( n7 r/ X

在is_allow()中增加对$this->savename的二次检查。 , ]7 E& m* l3 @& ~

/ Q( o6 ~4 V s4 \) b5 F

* u) w9 M/ U! t& Q, J8 o 最后 6 n o T% P* |+ v, U! a

5 s- T$ ^9 x0 Z, d5 A7 O+ z7 s- C

/ e! w' Q, m: T 嘛，祝各位大师傅中秋快乐！ " S& E. |: p6 I3 Q8 a6 i1 [; c

2 j6 r# [/ S. \1 p- n

6 _9 k' h( w( c   0 \& b' e3 @& J, @' D2 [# s

---

欢迎光临 中国网络渗透测试联盟 (https://www.cobjon.com/)

Powered by Discuz! X3.2