Destoon cms前台getwebshell

admin

7 o1 p: C0 {: ]2 l) ?: `( M; m

' H) g5 h8 @6 q4 B A

前言 $ W% r; E& T2 R& R Z7 f7 V

2018年9月21日，Destoon官方发布安全更新，修复了由用户“索马里的海贼”反馈的一个漏洞。

) L; D2 z% y7 u8 h1 G/ ^# b

 

漏洞分析

根据更新消息可知漏洞发生在头像上传处。Destoon中处理头像上传的是 module/member/avatar.inc.php 文件。在会员中心处上传头像时抓包，部分内容如下： * X! e. [0 D# M* v3 j

: t* t8 E- {3 |

x# T7 s% w2 c+ _  

" L& s2 z$ ]! k0 W, d* c 对应着avatar.inc.php代码如下：

<?php defined('IN_DESTOON') or exit('Access Denied');login();require DT_ROOT.'/module/'.$module.'/common.inc.php';require DT_ROOT.'/include/post.func.php';$avatar = useravatar($_userid, 'large', 0, 2);switch($action) {

    case 'upload': " b3 ^" ~4 ~4 V+ |/ ]

& H& D i( S) D7 q% {

9 `* K) f$ r+ Z- [         if(!$_FILES['file']['size']) {

            if($DT_PC) dheader('?action=html&reload='.$DT_TIME);

i2 z7 |* a4 ^+ a$ f2 D             exit('{"error":1,"message":"Error FILE"}'); , z8 u, S; `5 m T+ G$ F I

        }

2 M- B2 D% [6 E" w4 S/ F         require DT_ROOT.'/include/upload.class.php'; 1 V/ v* ^4 g. T+ c+ j! ]3 S) l

& C! L$ J, t4 I$ Z  

+ L/ P( Q$ O% p4 e

        $ext = file_ext($_FILES['file']['name']); ( i4 ]$ X. g( ~. d! T

        $name = 'avatar'.$_userid.'.'.$ext; + s0 a9 L* J$ D4 f

7 D) a% v# y O1 d7 Q* Q

        $file = DT_ROOT.'/file/temp/'.$name; $ }: _# L, P6 _/ q

0 g/ h5 T. L- `' q+ K- U

2 i0 I( z1 l+ s   0 U# k" c( [6 ?

5 P3 d U+ m1 U0 M8 g1 R9 Q         if(is_file($file)) file_del($file);

        $upload = new upload($_FILES, 'file/temp/', $name, 'jpg|jpeg|gif|png'); # R7 e( {/ d3 _% f) o

& I d5 ~& B( O: @# H( I: q

1 s7 A7 f$ ~, {' ^   / \, i3 }0 I9 |& u7 d! q- S) j

: \: u5 U0 l2 ^         $upload->adduserid = false; $ i& A9 y! Q2 j0 ?+ N0 @9 i! ?8 ^

7 x, Y) J% V, R6 }; j: Z

0 b5 n! W9 m0 k0 S: Y" [) h   ! z) d9 k8 r. |6 U- u

" j- |6 p5 \, u! [% Q

        if($upload->save()) {

Z* T- q6 M ?/ V8 D1 a8 A

            ... 9 [" u1 _- U& X( w. ]9 ?6 q

0 x0 [# N# k, {# j/ S5 |8 H

        } else { 1 z! D2 c. u8 ` E7 A: Y- c8 e

            ...

. I6 j7 K2 m6 b5 F T9 }( W2 l2 m

7 X+ H- j+ B# H% g6 L' E         }

3 q( i; Z# _8 F o# u+ g" R

* H! _6 p7 _5 A% a3 A9 P     break; 8 e& ?! ^/ {" |) o; J5 p8 r

9 h) s h+ R% T) J6 X2 g6 C 这里通过$_FILES['file']依次获取了上传文件扩展名$ext、保存临时文件名$name、保存临时文件完整路径$file变量。之后通过new upload();创立一个upload对象，等到$upload->save()时再将文件真正写入。

: q9 p4 M d7 ^+ f) ] upload对象构造函数如下，include/upload.class.php:25： / w4 p4 q$ t8 B* }$ M c% P4 u, Z

% x$ s7 w0 p- ^6 P2 k

' M `7 t4 T/ m5 h( u1 X <?phpclass upload {

    function __construct($_file, $savepath, $savename = '', $fileformat = '') { 3 ^( R* O% n) w' [" L3 H

        global $DT, $_userid; ( ]- A- M/ V; c1 F

& O) A) u( s, H6 n9 I: h         foreach($_file as $file) { 9 M+ c" |. ~/ G2 S6 A6 I, c) a% v

* q1 g" h, s& D) Q. O; v7 k+ {

* o5 } X4 E& X& }5 `! [2 ^             $this->file = $file['tmp_name']; $ G& h' B( M. R Z/ u7 U5 }

4 a" }! M3 G/ |" P$ J- I

2 m" b- \5 t8 @ p5 Y2 _: B             $this->file_name = $file['name']; $ D, J1 p& ]% |$ L4 O2 `4 Y- S" K5 @

; f. k# A! r- l             $this->file_size = $file['size']; 4 X! z+ i3 K; o/ w! q

* G0 t8 k) i- B- j+ i) f             $this->file_type = $file['type']; " i; T5 o. l* j9 D f7 {: V

9 B8 ~% i5 d; Z5 B: |' v             $this->file_error = $file['error']; + I7 g+ q5 z# M. c

9 Z7 G; d. r' r6 g% Y U8 l

  6 m6 @" k2 ^& h5 q m9 ^4 ~

4 }% m1 z d! w' t' a

        } ' C; x4 l" U( a/ K8 B7 `/ j, k

% W/ n% _( L K( O$ ]/ G

        $this->userid = $_userid; 9 w7 s4 S! B# c; N

: T* P }, |$ H: ]& I$ {1 n

        $this->ext = file_ext($this->file_name);

        $this->fileformat = $fileformat ? $fileformat : $DT['uploadtype']; - W0 n, q) j" T: A+ [

% i Q5 |# O3 D2 A0 R, \         $this->maxsize = $DT['uploadsize'] ? $DT['uploadsize']*1024 : 2048*1024; * G. M9 z1 `3 w5 Y! Z6 m

0 u9 b1 |) h; w5 Y; f. L         $this->savepath = $savepath; . R% G* W7 A. ~2 B; Y- x

2 S, i* G' {* q

        $this->savename = $savename;

: I( Y* e! w; V! O+ q

- y- i( k7 ~) c, E: p# o     }} & u3 Z8 y3 @# a

3 I7 T* P7 y9 S) }" ?

这里通过foreach($_file as $file)来遍历初始化各项参数。而savepath、savename则是通过__construct($_file, $savepath, $savename = '', $fileformat = '')直接传入参数指定。 # V V' \% F; g0 X/ f( @6 l9 E

因此考虑上传了两个文件，第一个文件名是1.php，第二个文件是1.jpg，只要构造合理的表单上传（参考：https://www.cnblogs.com/DeanChopper/p/4673577.html），则在avatar.inc.php中 7 F. n, Q, F7 d+ Y

* W6 B- t4 c/ k* m1 z$ F5 s$ m

$ext = file_ext($_FILES['file']['name']); // `$ext`即为`php` $name = 'avatar'.$_userid.'.'.$ext; // $name 为 'avatar'.$_userid.'.'php'$file = DT_ROOT.'/file/temp/'.$name; // $file 即为 xx/xx/xx/xx.php

$ W+ g6 m* c! z- p, @+ w

而在upload类中，由于多个文件上传，$this->file、$this->file_name、$this->file_type将foreach在第二次循环中被置为jpg文件。测试如下：

2 E7 w8 m& z- {( f: c7 y/ f6 N1 C( |   " _. T# T$ n X

2 s1 x. f" r7 \( O% R

# H5 b% ], u( s0 G% @# \ 回到avatar.inc.php，当进行文件保存时调用$upload->save()，include/upload.class.php:50: . R( i: e9 F6 B4 v( {2 a: E

3 l/ k7 i9 I4 m

' }* z0 v7 F2 i* c* a3 a$ T: T <?phpclass upload { ! T0 O. O- K y' ^* n4 S

4 a" [0 U _: t* r! p6 Z

. K* j6 z7 Q3 r+ D% e) q     function save() {

% e+ R; Q( Y+ E6 ^7 T- Q         include load('include.lang'); - ^& i- t$ {2 ]4 ~# Q

5 H2 T5 O9 {+ P2 ]; l! P         if($this->file_error) return $this->_('Error(21)'.$L['upload_failed'].' ('.$L['upload_error_'.$this->file_error].')');

4 n% {- t" v( F& Y

  ( q: S8 [$ l* `/ u9 p1 I

7 G- V* }5 _1 N6 K1 K7 y6 L* Q

9 H! L S L# @; L6 `         if($this->maxsize > 0 && $this->file_size > $this->maxsize) return $this->_('Error(22)'.$L['upload_size_limit'].' ('.intval($this->maxsize/1024).'Kb)');

" z" n7 m m- D0 ^  

* m; a( Q( A P, [* y- ]) ^9 J% N

        if(!$this->is_allow()) return $this->_('Error(23)'.$L['upload_not_allow']);

7 I: Y2 `3 l9 e' Z; ~! O   / ]) } b7 e( h0 V/ P ?& b7 {

- Q' Z6 v- L% u* P* b9 |+ B

        $this->set_savepath($this->savepath); 2 ]7 X0 G* H: E' [$ p

        $this->set_savename($this->savename); " R3 E% M t2 ?2 s. s' S. H: R

- a+ H8 L" c2 h4 p2 o& C* q  

T/ @3 K3 v/ Z" _         if(!is_writable(DT_ROOT.'/'.$this->savepath)) return $this->_('Error(24)'.$L['upload_unwritable']); p$ }2 o( V5 K7 h+ d* m8 a

, b8 b1 U, \+ a2 J

        if(!is_uploaded_file($this->file)) return $this->_('Error(25)'.$L['upload_failed']);

: }' q# Y# V8 ~. d: F: X) T- Q         if(!move_uploaded_file($this->file, DT_ROOT.'/'.$this->saveto)) return $this->_('Error(26)'.$L['upload_failed']);

  , c& h! x0 }& l; A

        $this->image = $this->is_image(); ( L5 ~, u, `: x+ ~ L% T

; f# ]' j/ z4 g+ Z# d8 N4 s- Z         if(DT_CHMOD) @chmod(DT_ROOT.'/'.$this->saveto, DT_CHMOD); 5 |4 }7 P& F$ F4 a& e3 D- I

6 _# ]9 N# H6 L; G! y

        return true;

( P4 a7 {3 l; N7 n1 B3 n

    }} ! G7 L9 W- p- T$ h

. p2 J% R3 X! B$ X/ p2 H7 \ 先经过几个基本参数的检查，然后调用$this->is_allow()来进行安全检查 include/upload.class.php:72：

0 z3 T+ d, j3 t- h

<?php + n3 m; ?0 S) g2 Q

1 q( i7 H. o" f; \( `, G* \

# q; |9 F: s3 Q* o% w     function is_allow() { 6 d2 K4 G5 u( ^& | m' o1 K U

        if(!$this->fileformat) return false; , R; H( W6 ?+ u1 E( s; u+ a

- |& b S- Z$ A, ~$ D$ x

# K# u( j" r9 B3 ~ f9 ?2 Z# a         if(!preg_match("/^(".$this->fileformat.")$/i", $this->ext)) return false;

3 R) t5 J# B* T9 t: w0 t

        if(preg_match("/^(php|phtml|php3|php4|jsp|exe|dll|cer|shtml|shtm|asp|asa|aspx|asax|ashx|cgi|fcgi|pl)$/i", $this->ext)) return false;

        return true;

1 _' W h1 B% f$ m( e

    } / E/ |& ~5 |7 X( g: m/ @" X& A

0 x+ F- L# d7 E- a8 n 可以看到这里仅仅对$this->ext进行了检查，如前此时$this->ext为jpg，检查通过。

1 d' [# _1 T0 e, w! P/ R7 u: N

- ~, q* R7 K6 L4 Y$ O 接着会进行真正的保存。通过$this->set_savepath($this->savepath); $this->set_savename($this->savename);设置了$this->saveto，然后通过move_uploaded_file($this->file, DT_ROOT.'/'.$this->saveto)将file保存到$this->saveto ，注意此时的savepath、savename、saveto均以php为后缀，而$this->file实际指的是第二个jpg文件。

' b7 F! @0 \- B( M9 w8 M2 p

) x/ y2 F2 I1 i2 i 漏洞利用

6 S' L- j1 I/ V- C

综上，上传两个文件，其中第一个文件以php为结尾如1.php，用于设置后缀名为php；第二个文件为1.jpg，jpg用于绕过检测，其内容为php一句话木马(图片马)。

! t; [. H, b/ v& o E! ^  

& {# b, C& f' s8 p 然后访问http://127.0.0.1/file/temp/avatar1.php 即可。其中1是自己的_userid

) ]: N( z/ k" j [

不过实际利用上会有一定的限制。

$ N( c0 R. v! F( j- w3 g

第一点是destoon使用了伪静态规则，限制了file目录下php文件的执行。 : ^" @9 k" w, v F6 D0 d& Z; ?1 X

 

第二点是avatar.inc.php中在$upload->save()后，会再次对文件进行检查，然后重命名为xx.jpg： ( B* t/ u: m5 s9 ?* N* }

9 o( H& ^7 [# o, Y 省略...$img = array();$img[1] = $dir.'.jpg';$img[2] = $dir.'x48.jpg';$img[3] = $dir.'x20.jpg';$md5 = md5($_username);$dir = DT_ROOT.'/file/avatar/'.substr($md5, 0, 2).'/'.substr($md5, 2, 2).'/_'.$_username;$img[4] = $dir.'.jpg';$img[5] = $dir.'x48.jpg';$img[6] = $dir.'x20.jpg';file_copy($file, $img[1]);file_copy($file, $img[4]);省略...

因此要利用成功就需要条件竞争了。

补丁分析 % m) `- G9 O8 k* q$ S( B* ~

5 b" i, {# E' f( f% F

, \2 o, i# H+ X6 J& n1 p4 G1 k  

[9 Q4 _& q1 U) `& ~

8 Y' G4 o9 j8 f& o& s4 m- v, s 在upload的一开始，就进行一次后缀名的检查。其中is_image如下：

) V8 y. i4 j0 |0 G

' d- `, W' c( Z; R$ y" C6 \4 o+ ~ function is_image($file) {    return preg_match("/^(jpg|jpeg|gif|png|bmp)$/i", file_ext($file));}

6 }1 p; M1 l+ K" I

  : h% r u3 ?- h5 v/ P

/ D) k- |9 I1 L

在__construct()的foreach中使用了break，获取了第一个文件后就跳出循环。

, B# R. j$ W" z3 Q 在is_allow()中增加对$this->savename的二次检查。

最后 8 I' R; h. G0 W8 G' m5 q; {% O

& \3 W" M! s4 Z5 W 嘛，祝各位大师傅中秋快乐！

2 V% V n) P0 S- B+ B

& J7 X# [% Y% M7 T- Q: M- Y   7 I9 V$ u: ]0 `