Destoon cms前台getwebshell

admin

0 ?' P' A6 Y: Q

+ r! d" u/ G, M. H' ^

" e1 y4 |" V9 }0 W3 ]$ M 前言

2018年9月21日，Destoon官方发布安全更新，修复了由用户“索马里的海贼”反馈的一个漏洞。

. H% Q( X* N2 L$ `

 

2 N/ e: M& j; @9 S, T6 \. Y/ z

4 P8 m: o9 g! f ~4 q- t; J 漏洞分析 % ]+ R+ C( a; G/ ]) t

1 A% L( m1 v* u0 q1 \: D

根据更新消息可知漏洞发生在头像上传处。Destoon中处理头像上传的是 module/member/avatar.inc.php 文件。在会员中心处上传头像时抓包，部分内容如下：

 

对应着avatar.inc.php代码如下： ; E# |) ~9 T; G/ f6 P

9 ~$ h4 k3 |: z <?php defined('IN_DESTOON') or exit('Access Denied');login();require DT_ROOT.'/module/'.$module.'/common.inc.php';require DT_ROOT.'/include/post.func.php';$avatar = useravatar($_userid, 'large', 0, 2);switch($action) { : T- u3 B8 p5 ?1 `! Y

) F$ d0 w2 Z, S6 V) |9 I1 j

8 v/ N, L$ I0 b     case 'upload': % P( {4 m5 d# B, `0 f

, B* `: O% e+ A n9 D

        if(!$_FILES['file']['size']) { / B% g7 b* G! Y- D7 a

            if($DT_PC) dheader('?action=html&reload='.$DT_TIME);

            exit('{"error":1,"message":"Error FILE"}');

) a5 P) n+ j% N# _! ]; i" h4 |6 G         } 3 ] s8 Y) q \

% g1 O; o7 z: j! T         require DT_ROOT.'/include/upload.class.php'; 7 P9 m' x$ `; z2 J6 w

- l' J& |7 ~! ^$ g* z& @( {

$ ]( q3 f: d+ {4 Y w; Z) x" f' j   / Q$ W8 @; E8 w: T! c/ t

! {3 [: p: _7 ~- q9 p. E

+ t _$ u3 O+ X+ s' ]1 l         $ext = file_ext($_FILES['file']['name']);

/ ]' Y; L; c7 F5 L

        $name = 'avatar'.$_userid.'.'.$ext; 1 }/ ?) c$ m* @# ^2 E P& ], ]: Y

        $file = DT_ROOT.'/file/temp/'.$name; 7 U$ R f; q; W+ F# t+ M

2 Y) h; L; ~; f# B7 w2 ]

4 Z) V4 V& W1 n+ m# Z& B, T   " T! p- ~/ m, U O( E$ h

        if(is_file($file)) file_del($file); & G, p A! C, D0 ^

- @' g9 r! f5 I g

$ s+ ?3 _, Q4 [! B$ V$ }         $upload = new upload($_FILES, 'file/temp/', $name, 'jpg|jpeg|gif|png');

' j5 ~0 o# S, Z/ T0 z

 

        $upload->adduserid = false;

" `2 B: L2 q& w/ Z

! }/ B' y2 [+ b! c8 o; W1 U  

        if($upload->save()) {

% _8 \# u! u( B# S# n" w             ... $ g' O3 Z- I9 ^6 B( d8 I: L

4 j7 ~0 \# f* E, b7 ~         } else {

+ g l! Q8 F: P5 [* C# N             ...

* P9 b! C* s) H( S) ?7 f a

        } 9 u# {5 l. B2 d

8 C7 Y7 [: s5 D1 R     break; + ~# Q4 f o$ p6 e

5 e, D* w/ e! J6 \. ~' [

* i+ X6 r$ X4 s5 O' |9 c0 M 这里通过$_FILES['file']依次获取了上传文件扩展名$ext、保存临时文件名$name、保存临时文件完整路径$file变量。之后通过new upload();创立一个upload对象，等到$upload->save()时再将文件真正写入。 ; Y# @( p, i" J: t4 S& k

% E4 n0 _0 i/ o6 k& y2 Q) ]9 C" y

+ F, ^$ \: x+ D upload对象构造函数如下，include/upload.class.php:25：

<?phpclass upload {

    function __construct($_file, $savepath, $savename = '', $fileformat = '') { ; I6 r5 \. m6 {( U

/ v; r3 r" W7 W+ N9 X3 o2 W% [

        global $DT, $_userid; + p) D: y, e# @" [7 o

* t9 V# f6 U& _" y         foreach($_file as $file) { / e) N3 \3 j2 U

* J( f8 K: D8 i' d             $this->file = $file['tmp_name']; ( t h! Q5 {; X" ^9 `2 ^

; T8 Z7 N1 F) y: \* M# v

/ {( u( `, ~6 X             $this->file_name = $file['name'];

0 H! B0 k* Y3 r/ z8 J, F- q

1 t! [4 J4 ]; d# U& K7 H             $this->file_size = $file['size']; $ o" X- f& d/ ?2 U4 p$ E) v

5 M$ w$ d( w3 w5 i             $this->file_type = $file['type']; % a. V5 Y3 B, M( \0 j) x3 z6 V

H4 E" }( [' l+ _1 ?0 h, r# w

            $this->file_error = $file['error'];

3 c" T# m$ t: @6 M

5 H5 Q0 k( e4 T4 d ?* [" [* J  

        } 7 Q3 Y" s5 V7 k! W$ W% P" A

3 t, `! W! b: z% i$ `$ J# |         $this->userid = $_userid; 6 q3 J; }" g A- E+ S( b' H

$ L3 ^, V' F8 t; {+ I

        $this->ext = file_ext($this->file_name); & t" t; W4 p& E

        $this->fileformat = $fileformat ? $fileformat : $DT['uploadtype']; . n% o( b3 R6 c% O* j" R& r; M' B" D

        $this->maxsize = $DT['uploadsize'] ? $DT['uploadsize']*1024 : 2048*1024;

        $this->savepath = $savepath; & ^* u4 _7 [2 q6 t- e

9 _5 T+ `( R3 v/ S9 @9 ~/ J

2 {- B7 \: Q, t- d; x( x         $this->savename = $savename; & {2 R% a, q! [( _: M% s

G) h" K1 q6 Y0 `: g

& D/ C; T B( w5 @) `" g* ?/ l     }} # r/ `% ]$ p0 h

9 Y" m* A8 [0 [ 这里通过foreach($_file as $file)来遍历初始化各项参数。而savepath、savename则是通过__construct($_file, $savepath, $savename = '', $fileformat = '')直接传入参数指定。

6 l3 C, ]3 u/ G2 V) [ 因此考虑上传了两个文件，第一个文件名是1.php，第二个文件是1.jpg，只要构造合理的表单上传（参考：https://www.cnblogs.com/DeanChopper/p/4673577.html），则在avatar.inc.php中

- H$ U. v2 v# ~- j& D- C $ext = file_ext($_FILES['file']['name']); // `$ext`即为`php` $name = 'avatar'.$_userid.'.'.$ext; // $name 为 'avatar'.$_userid.'.'php'$file = DT_ROOT.'/file/temp/'.$name; // $file 即为 xx/xx/xx/xx.php

: f% |0 o4 [9 o" I

而在upload类中，由于多个文件上传，$this->file、$this->file_name、$this->file_type将foreach在第二次循环中被置为jpg文件。测试如下： 1 _' E d) o# i7 S9 K# N

! r/ i, T* L: h/ {9 L0 e

' ?5 N. I$ Q* [- L: [  

& x0 c' Z2 w. p& _9 U/ t! P

回到avatar.inc.php，当进行文件保存时调用$upload->save()，include/upload.class.php:50: ( G& I0 t6 T" D) v0 s2 x

6 P% E i$ {% }; S) j% y <?phpclass upload {

5 N$ d/ i/ D' T+ A) C     function save() {

( m D2 Y, L1 T, w8 K- L         include load('include.lang'); 5 c1 O6 c* H% } h* W* z2 z

2 ^5 q( G9 v3 W# h/ A9 D         if($this->file_error) return $this->_('Error(21)'.$L['upload_failed'].' ('.$L['upload_error_'.$this->file_error].')'); 3 Z- _( ] R: ^8 V; l& x

) J; w* @; M" G5 }' z

  ! \. z6 y9 L: h% v6 ^" W! }

! x0 r0 C6 h% {; G6 p: q9 t1 p

: C# C1 M2 W, M% z6 L1 i         if($this->maxsize > 0 && $this->file_size > $this->maxsize) return $this->_('Error(22)'.$L['upload_size_limit'].' ('.intval($this->maxsize/1024).'Kb)'); # q( J8 w4 p! N" J

3 d; c# \/ L$ W$ [2 {0 c

  0 V* F: N& i4 u( W

8 K" c @5 M. k% G! K6 g: q

        if(!$this->is_allow()) return $this->_('Error(23)'.$L['upload_not_allow']);

 

; o1 o# E' Z" I% {% u( r

# R, K5 Y } b( e/ a5 Y- s         $this->set_savepath($this->savepath);

7 ^( t* m, B2 i$ m

        $this->set_savename($this->savename);

1 w* H P- G" x- k* s

4 y) K4 j% B' d5 s0 A5 E   + @$ ?/ G6 j# h% j

+ \6 M% n: V! J3 Y" E

        if(!is_writable(DT_ROOT.'/'.$this->savepath)) return $this->_('Error(24)'.$L['upload_unwritable']);

2 V2 K1 j7 S3 L4 P" G9 ]5 [         if(!is_uploaded_file($this->file)) return $this->_('Error(25)'.$L['upload_failed']);

+ ^8 T" C" {1 ^7 S

        if(!move_uploaded_file($this->file, DT_ROOT.'/'.$this->saveto)) return $this->_('Error(26)'.$L['upload_failed']); z0 q6 d; M* b8 o3 D

. `" P b" K* e8 m4 n. H3 L+ n  

, `+ B! s z" ?' a5 K         $this->image = $this->is_image(); / m) Z& }2 N3 Z4 Q

        if(DT_CHMOD) @chmod(DT_ROOT.'/'.$this->saveto, DT_CHMOD);

        return true; & T' \* [; O- l% F: u, T

' k5 Y6 h0 Q, R( u2 T

" R) Y, `; w( d) @3 M/ a     }} ' M- e; a8 Y1 C5 W, W3 L8 E

' a* T! q6 d* \4 Z7 Q

先经过几个基本参数的检查，然后调用$this->is_allow()来进行安全检查 include/upload.class.php:72：

' d3 c& t& J' @- \* j

<?php - B( O8 `+ T( v9 M; n6 r/ y* Q9 e6 ]% E

( _; J6 a! E' t! d

    function is_allow() { ; y! A& q6 [( N1 W- Y

! r; o R$ x& _6 M3 ]2 y" E         if(!$this->fileformat) return false;

1 s8 w2 A) S- k: X+ D5 @5 `

        if(!preg_match("/^(".$this->fileformat.")$/i", $this->ext)) return false; ) J1 _4 Q, q1 s+ X6 t# i

        if(preg_match("/^(php|phtml|php3|php4|jsp|exe|dll|cer|shtml|shtm|asp|asa|aspx|asax|ashx|cgi|fcgi|pl)$/i", $this->ext)) return false;

& Y J% x1 i4 _0 p' |! I; y

        return true; * y0 i: w) a% T& v+ a5 q

# D. \# u, F3 _8 k

" h! Z, d3 w0 I8 W6 f8 w     }

3 k0 u* `3 ?' N |4 Y2 I

& {7 M) W5 B* E1 f) k 可以看到这里仅仅对$this->ext进行了检查，如前此时$this->ext为jpg，检查通过。 2 X+ `# \, J5 A i; Z; J. |

接着会进行真正的保存。通过$this->set_savepath($this->savepath); $this->set_savename($this->savename);设置了$this->saveto，然后通过move_uploaded_file($this->file, DT_ROOT.'/'.$this->saveto)将file保存到$this->saveto ，注意此时的savepath、savename、saveto均以php为后缀，而$this->file实际指的是第二个jpg文件。

2 u& r) D: B( n) H. o0 x9 Y 漏洞利用 + |2 q# p: O/ r7 r- k0 u3 W& I

6 ]& }, d) |. G! a* l# d9 p& V+ X8 `

综上，上传两个文件，其中第一个文件以php为结尾如1.php，用于设置后缀名为php；第二个文件为1.jpg，jpg用于绕过检测，其内容为php一句话木马(图片马)。 , \# ]/ W5 d8 Q W3 g V

4 d: }, `, k6 `1 D$ a

  4 d( m8 x# n* X% r) K Y) I% D

5 C1 e2 S2 C( K' j$ e% B* u

然后访问http://127.0.0.1/file/temp/avatar1.php 即可。其中1是自己的_userid 3 p# u( r; L& A2 `& z/ q. W* K

不过实际利用上会有一定的限制。 4 K1 _$ @( t7 f+ D2 w+ U( D7 y

第一点是destoon使用了伪静态规则，限制了file目录下php文件的执行。 9 T" W) R! h# \/ l- X' }8 B) S

% m& D1 T! d, \8 a, n4 Z9 ?

9 ~* ?8 _5 s6 s$ K   ! E' J7 m2 ` C2 x+ d$ @3 C4 k

/ u" D; {1 c" T: [) ]" U& ~, h 第二点是avatar.inc.php中在$upload->save()后，会再次对文件进行检查，然后重命名为xx.jpg： 8 J5 _6 ?' \. P3 Y; V3 a4 Z0 ]

+ M# i/ e; C z4 f

! H# p1 _, O3 B* E 省略...$img = array();$img[1] = $dir.'.jpg';$img[2] = $dir.'x48.jpg';$img[3] = $dir.'x20.jpg';$md5 = md5($_username);$dir = DT_ROOT.'/file/avatar/'.substr($md5, 0, 2).'/'.substr($md5, 2, 2).'/_'.$_username;$img[4] = $dir.'.jpg';$img[5] = $dir.'x48.jpg';$img[6] = $dir.'x20.jpg';file_copy($file, $img[1]);file_copy($file, $img[4]);省略...

因此要利用成功就需要条件竞争了。 ' a# S. o9 l) a0 p6 | C- t

补丁分析 2 s: F: }# n2 Q" l( a+ e

! L9 J7 m, o( q" Z

  7 O0 n% v& R4 [% R' a0 b4 P

; Z- k$ o! @- O1 x0 _$ | 在upload的一开始，就进行一次后缀名的检查。其中is_image如下： ^+ I: h9 R/ Z/ E

4 j4 M+ Q+ J: B& Q2 ~

function is_image($file) {    return preg_match("/^(jpg|jpeg|gif|png|bmp)$/i", file_ext($file));} 8 `7 \3 x7 D" C; S5 H, A

+ @& |' n6 m$ j  

- h# z4 ?9 M2 ] W& g# G 在__construct()的foreach中使用了break，获取了第一个文件后就跳出循环。

8 c/ U3 L0 P4 |8 J ^; N9 v

在is_allow()中增加对$this->savename的二次检查。

+ S9 W9 e/ }' Y. }1 _& y9 v

" a7 k: h9 t7 V 最后 ' h) x: p( S. d+ E

嘛，祝各位大师傅中秋快乐！

6 \; U. ]2 a5 |: X5 t D  

* p0 P' `4 f( u, {- R