Destoon cms前台getwebshell

admin

6 \+ U' e5 [/ V& {( ]8 L4 v6 y! b5 m* [

& R) C8 k4 {" `% c+ f [0 H

, G- ^ k4 w' s% \1 g3 }

8 E! ]; s$ F8 k, Q& N 前言 2 H4 N1 r) H) A m

6 z" M. Y0 t" m 2018年9月21日，Destoon官方发布安全更新，修复了由用户“索马里的海贼”反馈的一个漏洞。 . ?! g+ i3 Z7 @) I Q/ f

( N6 i) C; _0 v# v3 J) A   % e! F! R- z" i3 S

漏洞分析 ! y2 i! T4 F3 e! v4 c

; W* ~2 U) T' v* m

根据更新消息可知漏洞发生在头像上传处。Destoon中处理头像上传的是 module/member/avatar.inc.php 文件。在会员中心处上传头像时抓包，部分内容如下： ' o1 O, y d# i3 }& ^

 

对应着avatar.inc.php代码如下：

<?php defined('IN_DESTOON') or exit('Access Denied');login();require DT_ROOT.'/module/'.$module.'/common.inc.php';require DT_ROOT.'/include/post.func.php';$avatar = useravatar($_userid, 'large', 0, 2);switch($action) { + j3 d& R: l+ r6 c

    case 'upload': / o; i5 T3 S7 A7 {, R

. ]. j& j. J; }# E5 c$ T8 o ^

: S2 _; k$ \, w% B         if(!$_FILES['file']['size']) { Y$ \; f# H& O$ {

# N+ f; K ?& _             if($DT_PC) dheader('?action=html&reload='.$DT_TIME);

0 ~$ m& a. F$ i+ k6 b

' W/ W& q8 p8 E) @             exit('{"error":1,"message":"Error FILE"}');

' x0 ` L+ W2 f& s5 F. ~1 `

        }

( H3 \* ~' p& E0 Q. E* i" l

        require DT_ROOT.'/include/upload.class.php'; / ?/ x2 N- R" K2 p' s- V

- ?3 m$ n) y& ?4 N% x

  ; f/ T6 n5 J3 W8 C. F; O+ @9 P# m5 K

( s, w4 d# s! l5 K/ R8 c& e

        $ext = file_ext($_FILES['file']['name']);

# c* J5 D) l: X! [         $name = 'avatar'.$_userid.'.'.$ext; ! z9 y4 ^) Z3 V/ i. {4 F

        $file = DT_ROOT.'/file/temp/'.$name;

- b4 _9 @; c1 {( ^; F   % K7 J x/ `- Y! T/ U/ N* e! f p

- v' V1 v6 E- D! I( M- N

: O2 m* k) X/ q4 n! g9 ?) ?         if(is_file($file)) file_del($file);

        $upload = new upload($_FILES, 'file/temp/', $name, 'jpg|jpeg|gif|png');

& B- M) j7 g# p" V* Z; \

 

1 l* d0 `' i. u         $upload->adduserid = false;

& Y3 j! ]8 p2 e# W) q. H/ j3 m& _# V

 

$ B1 i- @3 \% M% y5 C& X         if($upload->save()) { ' k& o' |! \+ l: Y

            ...

4 n8 s0 B' E' V( B

* {3 C, n- n( _( x         } else { ; h% `+ h* t& o) u( p( f4 t- t

. v& b* U4 q) _! b7 Y, f; W

            ...

        }

, X' @% B& ^. p3 {7 v     break;

7 L7 j J2 w" E" M3 I3 R 这里通过$_FILES['file']依次获取了上传文件扩展名$ext、保存临时文件名$name、保存临时文件完整路径$file变量。之后通过new upload();创立一个upload对象，等到$upload->save()时再将文件真正写入。 7 o9 h& M/ u" H j' K

: L+ e' N- f0 N7 q

upload对象构造函数如下，include/upload.class.php:25：

8 M( m: {6 t0 W* p. b( @3 ^ <?phpclass upload { . U1 D( \: i& v5 o

5 F/ D6 I# f' N% r6 S( q) X     function __construct($_file, $savepath, $savename = '', $fileformat = '') { 3 O9 z; R1 M3 g* _3 V, W7 F8 g

* e+ ?, ^! V; p2 n/ T

) V8 v* q9 {* L3 b+ l3 [         global $DT, $_userid; ; V$ k' O8 c$ \' D

% Z) c3 `- y: C* ~

        foreach($_file as $file) {

. l2 \ R$ |* {7 ~8 F

            $this->file = $file['tmp_name']; + v1 U) d8 C+ Q! `9 h& p

9 b. Z& O, }: g. _& |8 e

/ V# H) N0 o5 h& Z             $this->file_name = $file['name'];

" z: u' U. ~+ u0 i

& v4 p7 b0 N0 ^9 g! l6 Q             $this->file_size = $file['size']; : |- _' Z- s6 ?+ Q% Q5 w4 s# r. W/ g7 ?

            $this->file_type = $file['type']; * l0 w' [/ b' H. S, ]

) n+ C9 \0 ]. A" t

            $this->file_error = $file['error'];

2 d! s( l7 ^+ g) n7 E

 

9 Y, h5 v& J$ i; f7 q; q, p

        } 8 [$ Y( \! r/ R

' @0 e4 l! J5 M6 b8 D

6 s" k$ t4 q. q( i3 _ \3 P         $this->userid = $_userid;

: k* S# G& w- D: n% o+ H8 i         $this->ext = file_ext($this->file_name);

% ^6 r; G2 S$ J$ V" h9 n8 N1 D

2 G2 b8 C2 S# U8 q: u0 O, \* s         $this->fileformat = $fileformat ? $fileformat : $DT['uploadtype']; 5 Z0 g- }8 l# C2 T3 z W" D7 [

- P' y8 O9 L* Z         $this->maxsize = $DT['uploadsize'] ? $DT['uploadsize']*1024 : 2048*1024; ' e& P$ b2 p% D4 I

        $this->savepath = $savepath; 8 b3 S1 z# U+ T, P$ k

. w+ D$ o. j& |         $this->savename = $savename;

, P% b- Y! z; G9 |' y

' `$ N/ _+ B, ^3 g     }}

- s4 l! [* ]1 }( [. U( V- z

8 @% E$ `1 u* _& X, h' x' H 这里通过foreach($_file as $file)来遍历初始化各项参数。而savepath、savename则是通过__construct($_file, $savepath, $savename = '', $fileformat = '')直接传入参数指定。

因此考虑上传了两个文件，第一个文件名是1.php，第二个文件是1.jpg，只要构造合理的表单上传（参考：https://www.cnblogs.com/DeanChopper/p/4673577.html），则在avatar.inc.php中 + Q$ x. d( Y- ^3 Q1 F

2 R9 d3 ~7 @* O0 J8 |3 t9 |

N5 L9 y& v2 T% u. n2 E& _ $ext = file_ext($_FILES['file']['name']); // `$ext`即为`php` $name = 'avatar'.$_userid.'.'.$ext; // $name 为 'avatar'.$_userid.'.'php'$file = DT_ROOT.'/file/temp/'.$name; // $file 即为 xx/xx/xx/xx.php

而在upload类中，由于多个文件上传，$this->file、$this->file_name、$this->file_type将foreach在第二次循环中被置为jpg文件。测试如下： " @4 C+ a! Z8 r& Q

6 \% _) D* _; A$ B, u2 f5 `

  / w }& l& R5 I# o, l: C$ h/ J' q

5 }/ G% i9 |% ?

回到avatar.inc.php，当进行文件保存时调用$upload->save()，include/upload.class.php:50:

4 F: f. @* B) \4 I4 o( J <?phpclass upload {

    function save() {

- P2 `3 X- Q" T8 @

- z# w& T& m2 g9 Y4 [7 w3 J         include load('include.lang');

" D9 G: d% z9 o! Q

D1 O1 b% s I4 P+ i- b! U         if($this->file_error) return $this->_('Error(21)'.$L['upload_failed'].' ('.$L['upload_error_'.$this->file_error].')');

  `; P0 E9 g6 }3 j7 q' l/ M

: r% t+ m M5 A/ R% R

u: Q% T+ k7 a5 X         if($this->maxsize > 0 && $this->file_size > $this->maxsize) return $this->_('Error(22)'.$L['upload_size_limit'].' ('.intval($this->maxsize/1024).'Kb)');

0 }' x7 j& L. V, \

% P' ^9 D6 _. q/ L1 a   / Q! Q% d& R# a5 V; E# t

. |+ P0 N) r) J: F# f0 X6 |2 L' D         if(!$this->is_allow()) return $this->_('Error(23)'.$L['upload_not_allow']); * v1 W7 F# Y9 ?9 I+ ~

" ~0 }& Y6 Z" m* p* y u6 E8 h* X   " d/ Q- B, D. T' [7 `/ E G; [

% r/ v& c0 `: u$ ~         $this->set_savepath($this->savepath); % h+ W& q7 T) }" ?2 d' z

. z0 w- `: q/ Y* T0 t& o+ O7 @# b         $this->set_savename($this->savename);

0 V5 _* S W m7 x$ t8 M, e1 g

  * L0 e9 O( \; S: e( V

$ n- m7 T# w% u# d( g0 k

        if(!is_writable(DT_ROOT.'/'.$this->savepath)) return $this->_('Error(24)'.$L['upload_unwritable']); 4 A- v$ m/ k( o8 I

# n3 t( K9 E* v         if(!is_uploaded_file($this->file)) return $this->_('Error(25)'.$L['upload_failed']); ! A8 ?- V9 f4 E4 D; e

" V& k: Z6 ?& N N5 n0 I5 F: X

$ T% L9 ~( D* M, b( g         if(!move_uploaded_file($this->file, DT_ROOT.'/'.$this->saveto)) return $this->_('Error(26)'.$L['upload_failed']);

! |! M" |- y7 E% }7 D7 @2 m  

        $this->image = $this->is_image();

        if(DT_CHMOD) @chmod(DT_ROOT.'/'.$this->saveto, DT_CHMOD);

7 D% a+ B; i+ N# l

        return true;

7 G+ L2 c+ Z @$ h1 X! c% q/ Y: S

* c! \ x8 T T0 Q$ f% O     }}

先经过几个基本参数的检查，然后调用$this->is_allow()来进行安全检查 include/upload.class.php:72：

<?php 0 ~6 K; o! M+ I! M4 e

e) }( D- ^7 V. R7 R1 L4 D     function is_allow() { 6 b9 A" v! J$ @( K2 D

        if(!$this->fileformat) return false; 1 ^6 @3 ~3 Q4 V2 `7 o

) M8 b% @0 t1 B2 A

        if(!preg_match("/^(".$this->fileformat.")$/i", $this->ext)) return false;

$ L/ v* e8 ?3 f0 k1 ?

% j% l4 s9 P4 I" i1 i& b' Z/ U         if(preg_match("/^(php|phtml|php3|php4|jsp|exe|dll|cer|shtml|shtm|asp|asa|aspx|asax|ashx|cgi|fcgi|pl)$/i", $this->ext)) return false; 9 b. ^3 Y. |; [. _8 R) I' a6 v$ g

6 d! }/ J/ W) B$ K3 C9 z9 `7 a n

" n# w# ?/ |! i0 n$ b* Z         return true;

! d0 q1 P( Y6 _4 i; O$ a0 o/ j     }

1 d# U c; q! s' l

可以看到这里仅仅对$this->ext进行了检查，如前此时$this->ext为jpg，检查通过。

( n7 h7 {; n: ]$ z E5 n

4 X3 v7 ~7 y7 g% W! X! n% B 接着会进行真正的保存。通过$this->set_savepath($this->savepath); $this->set_savename($this->savename);设置了$this->saveto，然后通过move_uploaded_file($this->file, DT_ROOT.'/'.$this->saveto)将file保存到$this->saveto ，注意此时的savepath、savename、saveto均以php为后缀，而$this->file实际指的是第二个jpg文件。 : }7 ^* I; M: V5 w) z

漏洞利用

; l% _* [7 E' X1 @7 K. Q

综上，上传两个文件，其中第一个文件以php为结尾如1.php，用于设置后缀名为php；第二个文件为1.jpg，jpg用于绕过检测，其内容为php一句话木马(图片马)。

7 y, v ]2 k# {" I4 E, v/ E7 r3 c) Q

  ! ~: Y) `- \: n, }/ b& k

/ m& Z; t$ U f 然后访问http://127.0.0.1/file/temp/avatar1.php 即可。其中1是自己的_userid : t5 c# N' m/ n; B5 g" K

$ Y, z" V, d: R0 `

! I% a" q! R2 K. u; S 不过实际利用上会有一定的限制。

: X) p8 ~1 n2 r1 J+ h 第一点是destoon使用了伪静态规则，限制了file目录下php文件的执行。 $ u/ w, a; u% F

( o' x9 q! F5 E! O: i9 ^$ ^   / s. ?- E7 Y$ Q$ O$ x8 h9 k

7 V( Q2 R4 L/ ]- _, ~+ K, O 第二点是avatar.inc.php中在$upload->save()后，会再次对文件进行检查，然后重命名为xx.jpg： , ]- L$ \" U. I3 T, f

& ~+ h% Q8 H+ @: K$ i8 v3 o 省略...$img = array();$img[1] = $dir.'.jpg';$img[2] = $dir.'x48.jpg';$img[3] = $dir.'x20.jpg';$md5 = md5($_username);$dir = DT_ROOT.'/file/avatar/'.substr($md5, 0, 2).'/'.substr($md5, 2, 2).'/_'.$_username;$img[4] = $dir.'.jpg';$img[5] = $dir.'x48.jpg';$img[6] = $dir.'x20.jpg';file_copy($file, $img[1]);file_copy($file, $img[4]);省略...

8 M9 b# `6 y) n( \+ ~9 l& b/ Q

& a7 T* {$ M! \ 因此要利用成功就需要条件竞争了。 , h) l5 W# T- m4 Q q- d

3 M# h6 O, C4 ] @, B9 \; B n

补丁分析

 

& R, ?" f( y' [ 在upload的一开始，就进行一次后缀名的检查。其中is_image如下： 3 |5 F) b1 @, Y; | R

8 A2 p' T& v. q+ e

3 _. d- W, D) x9 ^. F function is_image($file) {    return preg_match("/^(jpg|jpeg|gif|png|bmp)$/i", file_ext($file));}

. |; s! d$ h- v: A, M9 C6 G! k# S   8 G2 h: X# f; Z5 [* M+ P* X$ x, }

( P6 a7 F+ R! Q' b1 N, ^/ j8 ] 在__construct()的foreach中使用了break，获取了第一个文件后就跳出循环。

) {) q2 G2 l- G. e; {# ^4 j6 {+ P# v

在is_allow()中增加对$this->savename的二次检查。

7 L# s3 p+ I% I. u* M: {9 j

最后 $ Q6 r* \ k3 Q; O6 s( n. R

嘛，祝各位大师傅中秋快乐！

! G, L. i8 \5 N

- Y; Z% }7 e; L- X: n# z+ A