Destoon cms前台getwebshell

admin

& y" B9 n A* I* ~$ D4 h) |0 _( h# t

& X- F0 t4 z/ u

前言

5 j6 N- w( i, T2 i4 i; h# ]$ W( h% Z

" R7 o! d" v7 c, f( {" S 2018年9月21日，Destoon官方发布安全更新，修复了由用户“索马里的海贼”反馈的一个漏洞。 / y' s, m8 K, ?0 `# D1 E6 p

# M# z O3 [. g$ g  

漏洞分析 * b/ m8 ^( D7 R8 v: ?

! L3 r. u) J5 Z0 p3 ~+ a7 j% O

根据更新消息可知漏洞发生在头像上传处。Destoon中处理头像上传的是 module/member/avatar.inc.php 文件。在会员中心处上传头像时抓包，部分内容如下： ' l; A. \ n- X; k6 `, K" f& B

( \9 U, g8 h7 {

  , l5 C" n b) r+ s7 f) l

' W( O7 t$ |7 Q& i" E6 E* w& A 对应着avatar.inc.php代码如下：

8 B4 Y+ Y/ w$ p$ J1 m/ q

( K/ _5 `% g& D, ^, h$ h" ^3 ^2 C <?php defined('IN_DESTOON') or exit('Access Denied');login();require DT_ROOT.'/module/'.$module.'/common.inc.php';require DT_ROOT.'/include/post.func.php';$avatar = useravatar($_userid, 'large', 0, 2);switch($action) { : V: P2 r O& B x" j. q

( T- r! T% q8 n' y

    case 'upload': . e6 b/ O o5 A) t) V+ b

9 g4 Z! w: R) _& K, K         if(!$_FILES['file']['size']) { , p# i* L3 l. a9 ]9 U

" L# t! \" J: [9 J0 v- O) Z

1 F' G" U* g( V/ |( T$ I% n4 d             if($DT_PC) dheader('?action=html&reload='.$DT_TIME); 0 q/ E* r7 d& A# K4 q& G1 Q

            exit('{"error":1,"message":"Error FILE"}'); , _/ k6 k# R/ p

        } % c; `) k% O1 C2 m: d

2 m. ^, J( ` E! B         require DT_ROOT.'/include/upload.class.php'; 3 ]9 D7 |' e( n

 

; i& c+ ^! S J1 j0 Z% [

' t. c# ^* H: o1 Q' r; l         $ext = file_ext($_FILES['file']['name']);

        $name = 'avatar'.$_userid.'.'.$ext;

0 V2 v+ b& a, W4 D( {: u9 D [7 _

        $file = DT_ROOT.'/file/temp/'.$name; - Q* R: M+ ^! L( ^7 x# \$ ~/ k4 E

. s: A& T: g6 ?5 Y$ x

. p% n7 C3 x' h E' d  

6 T$ ^! V3 R7 i2 x. m% L

        if(is_file($file)) file_del($file);

2 N) u( G, o2 Z' h7 H

0 {: y. I3 U% S$ x" f% \0 ?" M% d; s         $upload = new upload($_FILES, 'file/temp/', $name, 'jpg|jpeg|gif|png'); / i4 J" D- s& _7 M" x! u X

* m" s3 J9 Q/ i4 S

% W9 s- G1 \( _ M0 i2 q   , F) Q, T# ^; @' Y: G

) v% X( B4 B2 C1 o5 X

N! ^. q5 z& s6 {$ H6 d. @         $upload->adduserid = false;

  0 j* K3 a" r0 \$ U

* u( S& Y! v2 O3 }

        if($upload->save()) { & ?- `4 U- \+ A: G/ R: A3 y2 ~* S2 O

9 e5 G. y7 h" i8 K% K0 G* {$ a

" A1 k7 e5 ^( n( R- @6 ~ L             ...

" l# U5 m1 u$ e. Q' s

) e, o. J+ R$ k; h         } else {

+ b: w$ r# K# X) n1 ~0 l

            ...

        } $ I' C/ ^% ^, l- A" l9 J& ~. r

- {# Q0 X1 X) I0 ~4 Y     break; 3 R7 q2 D* g; B; ^9 U

' l' C& n- d* u/ L2 a

这里通过$_FILES['file']依次获取了上传文件扩展名$ext、保存临时文件名$name、保存临时文件完整路径$file变量。之后通过new upload();创立一个upload对象，等到$upload->save()时再将文件真正写入。 ) m v* H( ?; p- f

# U% d: D4 y6 A% U: i upload对象构造函数如下，include/upload.class.php:25：

: z& s# v# z1 i <?phpclass upload {

3 f- t9 L) Q& t ?9 o# C6 W

    function __construct($_file, $savepath, $savename = '', $fileformat = '') {

~2 m ]) f, _/ U

( `3 ^; }# C% u         global $DT, $_userid;

' K, m6 ]; L+ n         foreach($_file as $file) { 2 j4 M# V9 S. r% D# p- G g

, d/ J- E( d$ u# B) s! D8 M) C! e

            $this->file = $file['tmp_name'];

            $this->file_name = $file['name'];

/ X* P! x* G' m             $this->file_size = $file['size']; : o; ]* H2 @& ? ]

& y- u; b% M. s; J" x" g3 G- ]             $this->file_type = $file['type']; 8 f t) o! h2 M) q/ j6 H: n

" O( J* b5 h8 F$ `

# q' i! I0 t* u             $this->file_error = $file['error']; % t# i6 @5 x) E" |" V5 V

% l( @6 T0 q5 S8 y- l: [

) G4 L3 f, P3 d0 E/ W   $ }' b$ c& H* q1 y; g

( m# C8 d8 A* t# O: l. @9 P5 U6 A

3 E/ E' G/ a2 b$ \ x+ x         }

        $this->userid = $_userid;

) o' C! T- ~ r5 O/ L" O

        $this->ext = file_ext($this->file_name);

) | T' f! m$ I: ]% L         $this->fileformat = $fileformat ? $fileformat : $DT['uploadtype']; ( T4 Q- @, D8 b6 B

# v" z! m* S! {1 W j$ [. q5 O         $this->maxsize = $DT['uploadsize'] ? $DT['uploadsize']*1024 : 2048*1024;

        $this->savepath = $savepath; ( I. x3 p1 O% A1 ~3 j4 _! d4 U/ n, k

" a+ `3 `" b/ h6 z* F4 `, ~. L

7 h8 ]! ^8 _8 ]- H8 q& r& w! ~- A         $this->savename = $savename;

: X6 P; E# N) Q2 p9 j

    }}

$ {( V5 r$ u' V8 V) H8 q; I) p2 u" f 这里通过foreach($_file as $file)来遍历初始化各项参数。而savepath、savename则是通过__construct($_file, $savepath, $savename = '', $fileformat = '')直接传入参数指定。 * c+ T7 q8 a6 |- |

因此考虑上传了两个文件，第一个文件名是1.php，第二个文件是1.jpg，只要构造合理的表单上传（参考：https://www.cnblogs.com/DeanChopper/p/4673577.html），则在avatar.inc.php中

# W$ @( }+ j. f

$ext = file_ext($_FILES['file']['name']); // `$ext`即为`php` $name = 'avatar'.$_userid.'.'.$ext; // $name 为 'avatar'.$_userid.'.'php'$file = DT_ROOT.'/file/temp/'.$name; // $file 即为 xx/xx/xx/xx.php ( h9 ^, E. S3 T$ R$ J/ O

而在upload类中，由于多个文件上传，$this->file、$this->file_name、$this->file_type将foreach在第二次循环中被置为jpg文件。测试如下：

" P, B3 `6 S: G8 U$ G

 

& \9 G1 E; v8 G A* f1 @/ i- Y 回到avatar.inc.php，当进行文件保存时调用$upload->save()，include/upload.class.php:50: ; J3 u/ |: q6 h6 b& K5 N7 O3 A3 D _

( t0 _, |0 j2 q) f6 ~ <?phpclass upload {

    function save() {

' o& m# l: b! |

& N2 F+ C8 u4 `+ ~5 H         include load('include.lang'); . S4 V6 f: S! Q2 m2 H" j

        if($this->file_error) return $this->_('Error(21)'.$L['upload_failed'].' ('.$L['upload_error_'.$this->file_error].')');

( r$ `& q9 x% H0 f

7 q R8 Y9 h; S9 t- W2 Z6 O# @   9 ^! X4 N9 d4 D6 X# c o' c- H

8 d! J( u; ?! e( X         if($this->maxsize > 0 && $this->file_size > $this->maxsize) return $this->_('Error(22)'.$L['upload_size_limit'].' ('.intval($this->maxsize/1024).'Kb)'); 8 I y1 Z d3 t+ i

3 h J1 D% K6 l$ T

1 }% e9 @5 n0 {9 K' l   3 i8 g8 t( T/ N w1 V

# E% ~) y$ V+ d

        if(!$this->is_allow()) return $this->_('Error(23)'.$L['upload_not_allow']); 2 ^; ?# b3 g8 s7 a$ Z2 I

3 m7 K+ X) K$ Z! P3 H, T9 c

  9 ^8 \9 h+ c7 [, s, ]+ Z

* G( D( _8 w& K- Q. j% o9 f% W5 }         $this->set_savepath($this->savepath);

, p& u+ `$ J1 Z) I: a2 o- N$ j         $this->set_savename($this->savename);

\2 [- W u& X6 r# A3 r  

: @8 X5 @1 I" }( l! K

% j7 B$ Y7 Y+ r `         if(!is_writable(DT_ROOT.'/'.$this->savepath)) return $this->_('Error(24)'.$L['upload_unwritable']);

% Z. V$ D0 _9 R6 w3 N& c; h

        if(!is_uploaded_file($this->file)) return $this->_('Error(25)'.$L['upload_failed']);

5 h: G9 T i$ `# ~ H         if(!move_uploaded_file($this->file, DT_ROOT.'/'.$this->saveto)) return $this->_('Error(26)'.$L['upload_failed']);

% G& A, ~) Q. a9 M8 `* t# w   ( e( b0 ?0 D( y

* [+ _( {/ w# [         $this->image = $this->is_image();

! q# ` D: `6 y A; P, h

& N9 S3 d. A0 n         if(DT_CHMOD) @chmod(DT_ROOT.'/'.$this->saveto, DT_CHMOD);

. U9 }0 _2 A1 b, @1 W' M4 t1 ^         return true;

; G( J2 O! Z- |1 b     }}

先经过几个基本参数的检查，然后调用$this->is_allow()来进行安全检查 include/upload.class.php:72： & _: V8 |2 F _! g6 ]6 u9 [3 F

) y: o3 }8 Z& I# o) E8 P

" N1 g' I0 D9 } <?php + q" h" ^' Z& m

- s% Z* B: d/ f' { ~( w     function is_allow() { - o J+ H' z5 Q& C0 a( r, ]

3 C+ N {; d2 u0 E+ e* l

- q! R T. u3 x" W, d         if(!$this->fileformat) return false;

9 Y0 _. ~* f. D

        if(!preg_match("/^(".$this->fileformat.")$/i", $this->ext)) return false;

        if(preg_match("/^(php|phtml|php3|php4|jsp|exe|dll|cer|shtml|shtm|asp|asa|aspx|asax|ashx|cgi|fcgi|pl)$/i", $this->ext)) return false;

        return true; ( T | n0 [6 l( X' \

" V* w% a+ a1 V' h. ?2 L$ I& t

3 ]" |" _7 Q6 Y4 M* ?* S1 i" ^; u     } 2 T# Y6 O' }4 I; e2 m

可以看到这里仅仅对$this->ext进行了检查，如前此时$this->ext为jpg，检查通过。

接着会进行真正的保存。通过$this->set_savepath($this->savepath); $this->set_savename($this->savename);设置了$this->saveto，然后通过move_uploaded_file($this->file, DT_ROOT.'/'.$this->saveto)将file保存到$this->saveto ，注意此时的savepath、savename、saveto均以php为后缀，而$this->file实际指的是第二个jpg文件。

: T' g, c. Y. H _

漏洞利用

& p5 ]; `+ K1 l

9 N4 I/ }1 Z1 Q3 f7 x( L: b 综上，上传两个文件，其中第一个文件以php为结尾如1.php，用于设置后缀名为php；第二个文件为1.jpg，jpg用于绕过检测，其内容为php一句话木马(图片马)。 & t: J% J, `- K$ J5 V& d0 G1 `

1 k& _! E+ Z2 X

' ~# s; Q l& }# X+ `   ; k4 u P+ g# G7 y* n

然后访问http://127.0.0.1/file/temp/avatar1.php 即可。其中1是自己的_userid 3 N, ^4 w/ Q* q$ \% B0 ~% U# j

1 M i: Z% l$ Z6 g+ t7 Q

不过实际利用上会有一定的限制。 2 u7 ?3 u- p* f& C& n+ g

9 R8 o% i& ^7 C/ M! G3 x 第一点是destoon使用了伪静态规则，限制了file目录下php文件的执行。 5 O7 R `9 `0 F- v4 U; N

, `2 {5 t, m k  

第二点是avatar.inc.php中在$upload->save()后，会再次对文件进行检查，然后重命名为xx.jpg：

省略...$img = array();$img[1] = $dir.'.jpg';$img[2] = $dir.'x48.jpg';$img[3] = $dir.'x20.jpg';$md5 = md5($_username);$dir = DT_ROOT.'/file/avatar/'.substr($md5, 0, 2).'/'.substr($md5, 2, 2).'/_'.$_username;$img[4] = $dir.'.jpg';$img[5] = $dir.'x48.jpg';$img[6] = $dir.'x20.jpg';file_copy($file, $img[1]);file_copy($file, $img[4]);省略... {" W# O9 v/ y1 O' R" o

3 {+ r9 f! B3 k& k* l

因此要利用成功就需要条件竞争了。

9 P' B+ Z1 T7 p8 R& \; o

补丁分析

" ]: Q: j: T+ } n7 L7 v; h   * D5 n/ j p3 U0 z5 k

在upload的一开始，就进行一次后缀名的检查。其中is_image如下：

+ N% |( A# e, a: ~ u

0 E# R' }- w1 l: D, p% Y function is_image($file) {    return preg_match("/^(jpg|jpeg|gif|png|bmp)$/i", file_ext($file));}

2 ^( Y3 f L7 P7 m# A: ]" j

2 n3 U; E7 {9 I   # j9 t1 H6 s/ ^1 _& y" n; o

在__construct()的foreach中使用了break，获取了第一个文件后就跳出循环。 9 j5 X4 ~2 K, d+ g: O: u* {: H& f

/ b4 b5 x) t1 n& }' d# Y1 h5 ]1 | 在is_allow()中增加对$this->savename的二次检查。

最后 5 v# M6 h p X/ q4 x8 k0 g3 R

" H4 m5 w3 H' w2 w, t7 r- d

3 n. p; ~" I' ]! ~) i% ?% \% t 嘛，祝各位大师傅中秋快乐！ $ c+ f1 m* f5 I P* e

" Y8 u- m0 B( v

 

( g) {. @# `' v- c* v& w+ g1 ]