Destoon cms前台getwebshell

admin

+ y. }4 B4 N K3 _; M7 D9 {8 A. }

# I! q$ \# y5 T0 s' a# t

前言 8 f) @) Z% o: |% N

2018年9月21日，Destoon官方发布安全更新，修复了由用户“索马里的海贼”反馈的一个漏洞。 $ j" Q% u- q% ^

" k1 y6 p9 i+ y4 |7 n* T   ! n- D4 R" e: A

4 b: S; M3 o$ N S. _% d 漏洞分析 1 N- R# }3 Z! {: B

- {5 F8 X. e+ N' n

$ M Y& N5 D- V5 c$ x* L 根据更新消息可知漏洞发生在头像上传处。Destoon中处理头像上传的是 module/member/avatar.inc.php 文件。在会员中心处上传头像时抓包，部分内容如下： 4 a; d9 l" E' u6 V

 

对应着avatar.inc.php代码如下： % C V$ n+ n0 A1 J

<?php defined('IN_DESTOON') or exit('Access Denied');login();require DT_ROOT.'/module/'.$module.'/common.inc.php';require DT_ROOT.'/include/post.func.php';$avatar = useravatar($_userid, 'large', 0, 2);switch($action) { , o2 n5 a: V" e$ X

7 S! N% S* _& i% S) O. D9 T     case 'upload': : t/ }& S* A! B

        if(!$_FILES['file']['size']) { " ^3 d2 k: o1 t( O

            if($DT_PC) dheader('?action=html&reload='.$DT_TIME);

6 T: }. F+ h% r9 z) y4 `" e

! Z. U" l. ] e7 J/ R             exit('{"error":1,"message":"Error FILE"}');

# C. v4 l9 f! ?( _         } 3 v6 i0 J/ ?( W) K0 m8 @, D2 f

6 |6 q0 Y" c0 N2 f* g3 @: x

5 Y# M: H# \ O# |, n' z; w( {         require DT_ROOT.'/include/upload.class.php'; ' k3 w7 r& k( `( b9 B `- i' O3 p U4 n

0 H4 E& H7 ~% C   # y0 K& n! f0 X1 p" h

2 n; p0 O7 T, Y& E, M/ x. [         $ext = file_ext($_FILES['file']['name']); % U7 V- ]( }* t4 p7 ]: J+ j/ u; N# W

- V/ q; F4 _5 C! g) L$ n9 t' E4 L         $name = 'avatar'.$_userid.'.'.$ext; " L3 E) y- v0 G- r ]+ i

# O! F. f! L" E3 N/ h# d

        $file = DT_ROOT.'/file/temp/'.$name; 5 Z4 V8 g* F: {* t, }* i- s+ F" I J6 w

" n/ j& o' g; P& r   ; H% k+ Q' E1 @) F3 W- {: V; g

7 {2 G8 H2 a% a$ t& N

# e: K8 Z" S) _* E         if(is_file($file)) file_del($file); : w+ V0 g; _9 @% C

0 q% I( v* `4 r4 `1 k6 b2 F

        $upload = new upload($_FILES, 'file/temp/', $name, 'jpg|jpeg|gif|png');

 

+ Q0 M) u \7 }9 R9 ]         $upload->adduserid = false; 6 v3 e# b7 \- Q+ b) {" {

& S/ B* ~( ]: h: [ n   , u( {/ u! F1 [( M, J6 R! x

4 ~2 A$ v6 }' Z         if($upload->save()) { % t1 L, a7 u( r$ q2 D5 A3 J4 e

            ...

5 j, K- M% W* \8 W E- B5 B* r

* N, ~" b' y4 r3 d" U         } else {

9 j7 Q+ S0 [+ _0 u- d! n$ _3 ?4 i3 o

& E/ O/ a l3 g3 v- U+ a, }             ... 0 {+ g; k1 y X/ U9 x

: w8 f- g1 c7 W$ ~. g' y7 t, d- R

. B5 d4 a) `' ^% P) L         } % u Z- G9 q2 E' r: ~

9 z, a6 V" E' X* c& a# Q

    break; " F9 e" X+ o4 N8 U& t- I* H5 C

这里通过$_FILES['file']依次获取了上传文件扩展名$ext、保存临时文件名$name、保存临时文件完整路径$file变量。之后通过new upload();创立一个upload对象，等到$upload->save()时再将文件真正写入。 3 V, L8 p a% q0 A: C. s9 n) n

4 K6 O8 c( V. \3 l upload对象构造函数如下，include/upload.class.php:25：

<?phpclass upload {

! n& z, V- A4 |' r8 L0 t H7 ^

    function __construct($_file, $savepath, $savename = '', $fileformat = '') { . F1 ^5 ]( _2 C+ l7 J" H

. Z& [! N* @5 I2 w) {5 ^

, `; l0 J5 c5 T- A8 o% |4 H0 k         global $DT, $_userid; ' V$ g8 s5 Q0 M: O) l B' J8 Y# H

& h" I1 a: L: Y( j' m4 u+ o

        foreach($_file as $file) { + E, m: X( f0 K y) h# T

/ p, o' G- Y. T- W9 l

: C" m3 X- @* b. V% s             $this->file = $file['tmp_name'];

            $this->file_name = $file['name']; : B, e* S; b+ c/ T# P0 ]% ?/ _; S

            $this->file_size = $file['size']; 6 P; Z2 r9 x8 J

8 {, K$ {- O3 p& h             $this->file_type = $file['type']; 9 b" b0 o' v- I3 S0 B# n. [+ B, D

            $this->file_error = $file['error'];

& c2 m! s1 M0 v1 Y# {; K) F0 E* A

 

' L7 ^7 f A" \4 W" i         }

. l0 j# C. ~' c( J

        $this->userid = $_userid;

B2 x+ _/ K+ M6 \

+ ]5 Y0 P" T x" D         $this->ext = file_ext($this->file_name);

4 _- w+ J+ r# _1 l3 b6 ?1 p, @1 t

: B' v% P; ~& i4 r) r! J         $this->fileformat = $fileformat ? $fileformat : $DT['uploadtype'];

4 r# e# d6 {6 `7 h6 U         $this->maxsize = $DT['uploadsize'] ? $DT['uploadsize']*1024 : 2048*1024;

        $this->savepath = $savepath; 5 g( e6 f3 `7 a1 U$ c% F

1 a0 y g, X$ ?: z- e u

        $this->savename = $savename;

; z q, n Y! N- Y

; Y4 S6 A" T* R" u8 q     }} , z1 ^+ x. _; A" i- O- l: R' e

这里通过foreach($_file as $file)来遍历初始化各项参数。而savepath、savename则是通过__construct($_file, $savepath, $savename = '', $fileformat = '')直接传入参数指定。

因此考虑上传了两个文件，第一个文件名是1.php，第二个文件是1.jpg，只要构造合理的表单上传（参考：https://www.cnblogs.com/DeanChopper/p/4673577.html），则在avatar.inc.php中 * P' n! f- c3 l& I; z& [

$ext = file_ext($_FILES['file']['name']); // `$ext`即为`php` $name = 'avatar'.$_userid.'.'.$ext; // $name 为 'avatar'.$_userid.'.'php'$file = DT_ROOT.'/file/temp/'.$name; // $file 即为 xx/xx/xx/xx.php

/ U ?5 S- } x0 z2 F! N% O" O

而在upload类中，由于多个文件上传，$this->file、$this->file_name、$this->file_type将foreach在第二次循环中被置为jpg文件。测试如下： 4 T, p4 G! a! ]. k, o. I0 b

( e1 i, v) J; P8 j  

- Y9 E8 Z4 T: t

回到avatar.inc.php，当进行文件保存时调用$upload->save()，include/upload.class.php:50:

& c" }; Q! }' u' r

$ \% m C- b% s! H <?phpclass upload {

    function save() {

: _8 D! T1 Q2 B/ A# @% q" q' T2 s$ `; l

* `; k+ S: [1 d% C5 y( x9 b         include load('include.lang'); 0 a+ F2 K/ G1 V! D

! q- m7 `# A* k& i

$ `, W7 {" g. r' \; S$ g* s         if($this->file_error) return $this->_('Error(21)'.$L['upload_failed'].' ('.$L['upload_error_'.$this->file_error].')');

: s& e( H3 Q% D! H0 e   3 w2 A8 i9 `/ c" O: ]

9 j; Q5 p; }( ~# s         if($this->maxsize > 0 && $this->file_size > $this->maxsize) return $this->_('Error(22)'.$L['upload_size_limit'].' ('.intval($this->maxsize/1024).'Kb)');

: z' y* T0 Y& K, I* K

$ x9 W3 n# ]2 H: y: v# ]  

1 o, A, R7 g) Q: J) ~7 p5 {, d

' V8 W9 J; K. n2 d7 \; p         if(!$this->is_allow()) return $this->_('Error(23)'.$L['upload_not_allow']); 4 i0 h5 u# W8 [" @2 f6 J' [

  + _5 ?: p* Z5 c: q8 {

: ^6 p& w2 M* L# M. W- `- n0 ~% X' z         $this->set_savepath($this->savepath);

        $this->set_savename($this->savename); ' Q& o- W+ V% }# c$ w2 v |

2 Q; B" c' F; @' v& j: G6 u  

5 }# {0 q, S* ~* T2 i7 U z4 Q, Q

        if(!is_writable(DT_ROOT.'/'.$this->savepath)) return $this->_('Error(24)'.$L['upload_unwritable']);

3 c) U& ? b$ T' s5 Z0 z- b+ Y         if(!is_uploaded_file($this->file)) return $this->_('Error(25)'.$L['upload_failed']);

        if(!move_uploaded_file($this->file, DT_ROOT.'/'.$this->saveto)) return $this->_('Error(26)'.$L['upload_failed']);

0 O8 t6 X* m; ^' s   ) p4 C R! A: r

2 s7 g1 r3 b2 Z' r- Y, G7 Y! w' V2 [

        $this->image = $this->is_image(); ! E* A6 c& S T% O- i3 c1 X; Q

7 }8 G% t$ C4 m6 u

1 M4 y" O1 J1 `# b         if(DT_CHMOD) @chmod(DT_ROOT.'/'.$this->saveto, DT_CHMOD);

# Z" `; n" |) j

        return true; & G/ v: ?' @2 ?2 n9 _3 k

6 }/ }: y$ D( R; }4 h6 o

    }} + z0 x, {( ?+ X- t, Z0 d4 c: s) }

先经过几个基本参数的检查，然后调用$this->is_allow()来进行安全检查 include/upload.class.php:72：

0 G" {: m6 @' ^2 V( s

1 q U7 |0 W+ } <?php 5 @1 x: p8 ~3 y

: v3 F! i! d3 T4 G9 a

    function is_allow() { , u7 L3 P6 v+ d5 ]& q2 i, }1 q0 k

        if(!$this->fileformat) return false;

# J' r' R7 \! K% S7 _         if(!preg_match("/^(".$this->fileformat.")$/i", $this->ext)) return false;

        if(preg_match("/^(php|phtml|php3|php4|jsp|exe|dll|cer|shtml|shtm|asp|asa|aspx|asax|ashx|cgi|fcgi|pl)$/i", $this->ext)) return false;

9 Z& U( K( V% a r

        return true; b3 \: b. X5 K. \& `% _

+ ~! G. G4 G; ~4 H8 z3 h7 u, l

    }

* S2 T3 S4 Y* g1 j! ]8 Z; {; D1 B

' K9 a4 Y/ h3 Q4 w( `- C) k 可以看到这里仅仅对$this->ext进行了检查，如前此时$this->ext为jpg，检查通过。 ) ~2 C2 V+ _/ |8 H4 M! i# K/ `

接着会进行真正的保存。通过$this->set_savepath($this->savepath); $this->set_savename($this->savename);设置了$this->saveto，然后通过move_uploaded_file($this->file, DT_ROOT.'/'.$this->saveto)将file保存到$this->saveto ，注意此时的savepath、savename、saveto均以php为后缀，而$this->file实际指的是第二个jpg文件。

, D5 l- ^8 u' N2 o. f 漏洞利用 / v) \9 C8 n. h) ?

3 u! k. c- j' T0 S! b) j 综上，上传两个文件，其中第一个文件以php为结尾如1.php，用于设置后缀名为php；第二个文件为1.jpg，jpg用于绕过检测，其内容为php一句话木马(图片马)。 ) E. i7 Y/ U* T+ Q4 |7 E

$ G S t9 q l7 ?+ J1 \4 q( i6 |

  6 Y- n, q- h& I6 a

然后访问http://127.0.0.1/file/temp/avatar1.php 即可。其中1是自己的_userid

4 f/ R' g" ]6 N- k: s+ V% o+ d4 x

不过实际利用上会有一定的限制。 * G9 Q3 p* ~2 f5 e

6 }3 P U1 [; c

第一点是destoon使用了伪静态规则，限制了file目录下php文件的执行。

% A/ U# P0 _7 P) W! _) ^" z2 v G0 @4 n

9 h+ e# C: M! h- q7 I   / U0 T: b. \' u+ o% I B

( T Y8 k5 @. j: P" S* t# L

* |. z+ b5 H* ^7 c. O) j# i) n 第二点是avatar.inc.php中在$upload->save()后，会再次对文件进行检查，然后重命名为xx.jpg： ! C' T& E4 m; |, [: _! s" i

0 ?: b" R) t2 q* L; g3 F9 y+ b

* l9 C# h( Y' f 省略...$img = array();$img[1] = $dir.'.jpg';$img[2] = $dir.'x48.jpg';$img[3] = $dir.'x20.jpg';$md5 = md5($_username);$dir = DT_ROOT.'/file/avatar/'.substr($md5, 0, 2).'/'.substr($md5, 2, 2).'/_'.$_username;$img[4] = $dir.'.jpg';$img[5] = $dir.'x48.jpg';$img[6] = $dir.'x20.jpg';file_copy($file, $img[1]);file_copy($file, $img[4]);省略...

因此要利用成功就需要条件竞争了。

' F: m& B$ Y; Z* T! L

补丁分析 # ^! p8 ?" g5 X0 `" L1 J

  4 P. x( A) s5 l- h: [

在upload的一开始，就进行一次后缀名的检查。其中is_image如下： 0 t& x. f' F$ R" j" u1 P

function is_image($file) {    return preg_match("/^(jpg|jpeg|gif|png|bmp)$/i", file_ext($file));}

) h; \& M. X& N- R/ G- `9 i) A

  2 [0 y4 _+ z$ K4 ^8 Q

& Q- H# u1 O8 N9 M5 G* k

在__construct()的foreach中使用了break，获取了第一个文件后就跳出循环。

0 e1 x/ Q, | l1 R* ~9 Z3 X+ k E9 H

* G0 n# a, h: k" E3 @6 K; u4 } 在is_allow()中增加对$this->savename的二次检查。

5 t: W- v6 t8 S4 v; I. |' G 最后 5 L; l7 i) x9 | N/ [; y

8 ?7 s' m1 J# m* j( ?& }8 V 嘛，祝各位大师傅中秋快乐！

& l: S/ }; G2 B) ^8 k( D' y$ I: H

: x- A6 g: R/ j9 \; X