Destoon cms前台getwebshell

admin

( [0 L- k/ p- G. F8 a

2 a) I" y3 \2 ]$ v- h# V

8 |; h/ h7 f) V' {2 Q& t 前言

2018年9月21日，Destoon官方发布安全更新，修复了由用户“索马里的海贼”反馈的一个漏洞。 , ?% K+ ]9 Q/ o+ K5 Y7 Y2 \

  + |) {% }# N4 T1 F$ y# b

+ B8 e& T" `3 W& C' U: P

漏洞分析 : @+ D9 h8 m, j8 `

7 l# |" _! p# d. ?* Y, T6 V( f7 s

根据更新消息可知漏洞发生在头像上传处。Destoon中处理头像上传的是 module/member/avatar.inc.php 文件。在会员中心处上传头像时抓包，部分内容如下：

& H4 z9 K6 d- X! \1 L8 r5 Z$ N

  ) g& `) l/ a1 r' N- g3 F

对应着avatar.inc.php代码如下： % F" }1 E- W* b2 F! `( |) [

' K5 b; ]+ K" q

<?php defined('IN_DESTOON') or exit('Access Denied');login();require DT_ROOT.'/module/'.$module.'/common.inc.php';require DT_ROOT.'/include/post.func.php';$avatar = useravatar($_userid, 'large', 0, 2);switch($action) {

2 a: w: Y3 \5 J A- A# O5 V

6 {' v# A; `! R     case 'upload':

        if(!$_FILES['file']['size']) {

, ]; g, b+ U( M8 f/ [$ Z/ }

( Q/ S' z; h; {0 |1 q             if($DT_PC) dheader('?action=html&reload='.$DT_TIME); : y% Q% Z; g h& X9 j/ c

" c9 T5 G8 _; `" H: x3 u2 V; n

            exit('{"error":1,"message":"Error FILE"}'); 4 Z5 [7 [! }+ c+ A5 }/ w

        }

4 P/ l/ k+ k7 F) K         require DT_ROOT.'/include/upload.class.php';

# ^4 ~! t( O c5 P' ]5 F# D+ C+ ]

 

* Q2 X8 k& B3 T1 J$ N2 `4 t+ u4 t9 |

, Z4 \; |8 b: H4 O& k         $ext = file_ext($_FILES['file']['name']); * F8 e. c/ S* p6 K

& {" }" [# K) b- }

2 a& O7 w0 }7 M* k; l# X         $name = 'avatar'.$_userid.'.'.$ext; 0 u5 B) t$ W) K. B2 T0 ?

6 ~3 U3 V% C1 d

: ^! n8 e) ?( p' I, B% o         $file = DT_ROOT.'/file/temp/'.$name;

% p% |# r4 U2 U4 V8 E   7 |" M/ p7 h v

9 h# G; l5 k2 J$ |" b+ w; K" e1 \         if(is_file($file)) file_del($file);

        $upload = new upload($_FILES, 'file/temp/', $name, 'jpg|jpeg|gif|png');

0 N0 k% y7 N. @1 }: z# S

) h7 K4 ?( F: G. h6 F) G  

: I1 G5 G2 t! C' Z8 @" O

        $upload->adduserid = false; 3 s9 U" l7 H: G) k$ g# x9 [) |: ~

. X% G5 [' z3 h: ^7 G

1 Q% P/ u; G8 G" i: U* Q! z: ]! {   " v0 h, g: ~( b+ A6 J3 E- l

1 F& }# a, P3 N4 @: | H         if($upload->save()) {

0 ^3 R( H( y- A7 y

            ... 6 B* S6 i# D/ E+ K6 U3 G% {$ b. [

. m5 ]" P7 j1 P( z) D l' X* T9 @, X+ m

3 a3 }5 L. I: s5 ?0 ?5 j* n         } else { 6 M% K: g" i- z- ^7 H. Q

# ^! @9 F0 o0 @3 k$ c             ...

! I; A0 h- j% s# t' A: O

        }

! A I/ A- a. s( o) S

" g6 R6 S& ^) r3 \) G8 K2 `( X     break; 4 H, P! b' b. B7 {! J; E

+ P% C) k$ d) ?) ~2 z6 o# D& j

这里通过$_FILES['file']依次获取了上传文件扩展名$ext、保存临时文件名$name、保存临时文件完整路径$file变量。之后通过new upload();创立一个upload对象，等到$upload->save()时再将文件真正写入。

upload对象构造函数如下，include/upload.class.php:25：

4 ?/ a( x# r2 L- K8 p/ M

7 f; A0 c. j: m: D: H! N3 I, z <?phpclass upload {

/ D1 m1 E# o2 s% A; R# _

    function __construct($_file, $savepath, $savename = '', $fileformat = '') {

+ z6 {3 A; g# K

        global $DT, $_userid; ( X7 ~) m/ o8 u$ |. u! Z; W

4 f) t( [- Z$ @- ~3 P8 ~9 }% m         foreach($_file as $file) { $ o+ \0 f+ M0 @' ?( e! v. k

            $this->file = $file['tmp_name'];

            $this->file_name = $file['name'];

7 j, [& g1 m0 J" b- M

! u. g8 n. A+ l             $this->file_size = $file['size']; . N* ]6 ^! \4 ^2 Y% E2 \' B

            $this->file_type = $file['type'];

T5 A1 R6 P7 b0 V3 T, i

2 g% H u; u: V, d; g9 Q% P4 Y             $this->file_error = $file['error'];

9 O/ }7 v( J6 N

 

$ x- n$ I+ w$ w

        }

        $this->userid = $_userid;

- R" J; F- T2 @ S0 ~- Y8 g4 f         $this->ext = file_ext($this->file_name); # }+ l, b1 ~! |) q3 B

$ h$ R. |+ b( L5 Z( h         $this->fileformat = $fileformat ? $fileformat : $DT['uploadtype']; $ d' b8 t+ d7 N" T7 x( A

1 [1 I% r& `- p+ h" r; }# H

+ d. n3 K% M' C4 \& f" g: H) I         $this->maxsize = $DT['uploadsize'] ? $DT['uploadsize']*1024 : 2048*1024; 0 p& O: |/ R/ \, U) B/ o. [

        $this->savepath = $savepath;

$ f9 [; V( o4 b+ S: B

        $this->savename = $savename; 9 p4 b4 v2 P, J F" L

" {3 d7 f4 A7 H2 R6 c

    }}

7 `3 @, ]/ q5 k1 R

" q/ {, R$ X; I2 m% ]; j. r O 这里通过foreach($_file as $file)来遍历初始化各项参数。而savepath、savename则是通过__construct($_file, $savepath, $savename = '', $fileformat = '')直接传入参数指定。 - ^1 q% d8 y7 h9 l$ n7 |& Z

- k, P7 e0 S( I5 O. O6 u 因此考虑上传了两个文件，第一个文件名是1.php，第二个文件是1.jpg，只要构造合理的表单上传（参考：https://www.cnblogs.com/DeanChopper/p/4673577.html），则在avatar.inc.php中 / a. {( d+ c3 O% K; q

4 k8 J. }. d1 R% h$ ~+ q: F% Z5 F, a $ext = file_ext($_FILES['file']['name']); // `$ext`即为`php` $name = 'avatar'.$_userid.'.'.$ext; // $name 为 'avatar'.$_userid.'.'php'$file = DT_ROOT.'/file/temp/'.$name; // $file 即为 xx/xx/xx/xx.php ( s Q2 I: z: g# ~; ?

1 J# t& I3 e0 z

$ D9 ]' S" y" O 而在upload类中，由于多个文件上传，$this->file、$this->file_name、$this->file_type将foreach在第二次循环中被置为jpg文件。测试如下： - {" o) I3 ]5 L1 ]' _

% z# u/ @6 d; x

9 Y* j, g N" Z$ G/ r; h2 C. l  

& C7 x# e# s' }( G4 ~

/ m, s7 ~" ]9 s' U* a- k& m 回到avatar.inc.php，当进行文件保存时调用$upload->save()，include/upload.class.php:50:

<?phpclass upload { ( ` V# K/ A' X

. Z# N/ q- `- r8 m9 v) v' \     function save() { 1 j6 V. X0 F$ S4 C- z

9 Y* t1 I, E+ C/ l         include load('include.lang');

. W9 |; P2 b1 V- b1 A! J

3 C3 e+ @3 t! O: [% Y         if($this->file_error) return $this->_('Error(21)'.$L['upload_failed'].' ('.$L['upload_error_'.$this->file_error].')'); & K4 [2 Y3 {; y" u

0 A1 E* C- C/ s2 d: i/ l% G   1 W- T+ B3 s" f$ k6 l

        if($this->maxsize > 0 && $this->file_size > $this->maxsize) return $this->_('Error(22)'.$L['upload_size_limit'].' ('.intval($this->maxsize/1024).'Kb)'); , n8 J& u8 V4 j7 H

% f" q& R5 V f& G9 D& A$ P P

4 F# y: T% _! k, y   ( o( [6 v- k& g. u

        if(!$this->is_allow()) return $this->_('Error(23)'.$L['upload_not_allow']);

% ?( u! n( Y G/ Z, ~

q/ F+ \ P. S0 S/ s- E% y' F  

: m. d) e/ K% X" ]

        $this->set_savepath($this->savepath);

5 n8 D' F( I c3 I' x         $this->set_savename($this->savename);

5 C& Y, { K V6 J; q6 }( S7 Z& M   : l' G |/ a' _

$ f9 d# A" ]/ o0 F0 K1 A3 g

' k2 s5 k2 q7 N2 b+ x/ {         if(!is_writable(DT_ROOT.'/'.$this->savepath)) return $this->_('Error(24)'.$L['upload_unwritable']);

6 [- x: W# g2 `% A- M( J D) K         if(!is_uploaded_file($this->file)) return $this->_('Error(25)'.$L['upload_failed']); - \9 y- Z, [7 m3 q

: w! p. E4 }& V9 N         if(!move_uploaded_file($this->file, DT_ROOT.'/'.$this->saveto)) return $this->_('Error(26)'.$L['upload_failed']); ! k1 m: b. S5 y/ W2 j

5 J* a0 ~+ X/ B7 T) j- `+ L) s

2 B" ~5 o* K5 w2 u  

: b8 k# K9 S! \( y

        $this->image = $this->is_image(); : l6 \. ^5 N/ D: M! p$ q

9 W! R8 I0 T# }% s% v; }0 e, D

6 h2 @9 q" N# q1 O5 d         if(DT_CHMOD) @chmod(DT_ROOT.'/'.$this->saveto, DT_CHMOD);

" x/ n" `% V% e0 c4 L

& G6 t, b8 O% _" }, J         return true; & b" X4 `9 ^! B! l

# d+ p) F: p& r8 Y$ O7 e6 Q) N4 O7 U     }} ! T3 |$ B& F _% P6 V) |2 y

' E7 B: V6 H( S4 `* a1 Y! D8 P4 e 先经过几个基本参数的检查，然后调用$this->is_allow()来进行安全检查 include/upload.class.php:72：

<?php

, m7 T/ V5 z$ ? W# ]% r+ d& I

- M p+ K+ S {$ `; s9 Z6 L8 Y     function is_allow() { 3 G5 Z: s* _; N, P6 g

. }! K) a9 v6 K7 O         if(!$this->fileformat) return false; * P% M$ q, i/ T) _. J

! {9 @( k8 N: W/ n6 i& b6 d

        if(!preg_match("/^(".$this->fileformat.")$/i", $this->ext)) return false; 3 ` F# a3 g2 a* y2 K8 ^ B

7 w9 o: g- I" B/ C. T4 m         if(preg_match("/^(php|phtml|php3|php4|jsp|exe|dll|cer|shtml|shtm|asp|asa|aspx|asax|ashx|cgi|fcgi|pl)$/i", $this->ext)) return false;

0 [6 W6 r# ?9 ~. O1 s/ O

        return true;

    }

- @- j I9 N# r0 N6 l6 ]3 v 可以看到这里仅仅对$this->ext进行了检查，如前此时$this->ext为jpg，检查通过。

K. F+ g5 Y+ J( |, R2 j3 l

6 f/ F- n& d/ E 接着会进行真正的保存。通过$this->set_savepath($this->savepath); $this->set_savename($this->savename);设置了$this->saveto，然后通过move_uploaded_file($this->file, DT_ROOT.'/'.$this->saveto)将file保存到$this->saveto ，注意此时的savepath、savename、saveto均以php为后缀，而$this->file实际指的是第二个jpg文件。 % I1 t5 J& c. D8 x+ T5 p9 [' \

% u5 r0 w( ]$ ]( k& b J; |8 q- ~

漏洞利用

综上，上传两个文件，其中第一个文件以php为结尾如1.php，用于设置后缀名为php；第二个文件为1.jpg，jpg用于绕过检测，其内容为php一句话木马(图片马)。

9 m$ `6 u n2 J$ I7 I

 

7 W, y' l' G! E u8 w n4 q 然后访问http://127.0.0.1/file/temp/avatar1.php 即可。其中1是自己的_userid 2 @8 ~7 d" y1 Z! B' {" ^

不过实际利用上会有一定的限制。

第一点是destoon使用了伪静态规则，限制了file目录下php文件的执行。

0 N6 v6 i+ R+ F5 ?3 E1 Y9 ?

& J. k q1 k. I+ B   6 \! q) \2 S2 O

* V3 k4 c- T# u' }7 @/ G! {

第二点是avatar.inc.php中在$upload->save()后，会再次对文件进行检查，然后重命名为xx.jpg：

+ R' I G7 U! _7 P1 p9 \5 e

1 H8 V7 q$ _: T5 c# e 省略...$img = array();$img[1] = $dir.'.jpg';$img[2] = $dir.'x48.jpg';$img[3] = $dir.'x20.jpg';$md5 = md5($_username);$dir = DT_ROOT.'/file/avatar/'.substr($md5, 0, 2).'/'.substr($md5, 2, 2).'/_'.$_username;$img[4] = $dir.'.jpg';$img[5] = $dir.'x48.jpg';$img[6] = $dir.'x20.jpg';file_copy($file, $img[1]);file_copy($file, $img[4]);省略...

6 f7 A& b7 F k; ]# j

+ l0 h! \5 Y- e# N2 {, y 因此要利用成功就需要条件竞争了。

补丁分析 " a- w* ^& H, I+ X9 g

& s4 R( @( {& `1 `

: i% A$ y( e/ n$ A& V  

& J7 z8 e& u" b1 U2 c 在upload的一开始，就进行一次后缀名的检查。其中is_image如下： % H( e; Y9 d/ ?$ R4 c& `

: w, V* ^: P0 K5 P

function is_image($file) {    return preg_match("/^(jpg|jpeg|gif|png|bmp)$/i", file_ext($file));} $ U1 t+ o0 Q3 P

 

6 n" q$ Q6 \5 S6 }; g% f9 o

: u1 @7 F, H% ]( M7 t% ^ 在__construct()的foreach中使用了break，获取了第一个文件后就跳出循环。

6 Z G$ M) Y$ d t3 R7 w 在is_allow()中增加对$this->savename的二次检查。

/ \: ]. G1 t1 H 最后 # c/ Z1 T Z; n% k; w

* B1 _7 u4 b0 o3 g 嘛，祝各位大师傅中秋快乐！

% b$ S2 u5 k2 P9 Z2 u- |8 N- j

7 o. \9 v$ m9 R2 x  

- T1 ?9 ~1 i4 d9 c% V. L