Destoon cms前台getwebshell

admin

/ O' @! D% {1 t3 L! I. E) G8 ~

8 ]6 z4 v. B4 y2 Z3 V

% |8 m0 G, C5 T. f0 o 前言 " J, O: Z7 G U M

* E1 e- g+ G' ]! g* z

( t# Q( R; ?7 t# x: [ 2018年9月21日，Destoon官方发布安全更新，修复了由用户“索马里的海贼”反馈的一个漏洞。 / m% a$ N& a( \9 v/ Z! B

  1 _! Z) x* u8 H9 ~- M$ i

漏洞分析 7 p" S5 E# g7 l l- y

# R1 ~5 ^& p2 L4 y- P

根据更新消息可知漏洞发生在头像上传处。Destoon中处理头像上传的是 module/member/avatar.inc.php 文件。在会员中心处上传头像时抓包，部分内容如下： % {9 m1 ^) _ m, w

/ E& z/ m* P. n! S" r/ g  

- d. ]& t$ h4 F: U

, o# i: e+ E- }8 C* m4 Z 对应着avatar.inc.php代码如下：

<?php defined('IN_DESTOON') or exit('Access Denied');login();require DT_ROOT.'/module/'.$module.'/common.inc.php';require DT_ROOT.'/include/post.func.php';$avatar = useravatar($_userid, 'large', 0, 2);switch($action) {

y+ |4 ~/ n8 d }& G

    case 'upload':

0 S' R- Y' M6 c+ |

/ c7 }/ T# Y! H0 k8 l2 E         if(!$_FILES['file']['size']) {

; w+ N, `2 g) k2 A

- P k6 H2 e8 c! d# v             if($DT_PC) dheader('?action=html&reload='.$DT_TIME); 3 D. g7 u) m1 L) r( y

7 M4 [1 |' o3 F& _4 T2 ^

            exit('{"error":1,"message":"Error FILE"}'); 4 T7 _3 o& _9 N0 a# a

8 O% x$ e$ U" _: Y# Y

        } ! D4 g, u, `: E1 o) J x) G- A

, W; Q% n, Z" d

        require DT_ROOT.'/include/upload.class.php';

% |4 H7 p: F' y& C) S3 I+ Y' }2 Z

 

        $ext = file_ext($_FILES['file']['name']);

) q( H! d' Z: }0 d2 z, s

" h0 i i$ ?" q1 }- z         $name = 'avatar'.$_userid.'.'.$ext; 2 r2 V. u7 g+ c) I9 N: {

        $file = DT_ROOT.'/file/temp/'.$name;

 

3 K3 n, V o0 ?/ R5 n* w0 E

        if(is_file($file)) file_del($file); 7 J' W7 E) G+ Q/ ^$ I' S& B/ B

" U# q/ K8 |6 r# F/ l1 R( N; i         $upload = new upload($_FILES, 'file/temp/', $name, 'jpg|jpeg|gif|png'); / v+ O3 x! i& P& u" X4 d5 J7 i

3 Z, ?7 X2 F- O* u

  3 U; v$ L$ r6 j/ @5 }

$ v. N- |# ?# v% ~3 |5 i3 }+ ?

        $upload->adduserid = false;

# S E) G7 | c# I# P& W; T  

, T6 a* F/ d' b$ E/ h

4 Y( R9 T% N/ q3 I4 d# j         if($upload->save()) { ) u8 q; L; i% h) d

* ^- P& \; P; {4 T; x" J0 x/ A             ...

5 ^8 Q% Q2 z% i2 U         } else { 5 y* [, `0 M2 q: |0 l; ~/ d2 n

            ...

7 X# }5 B* O7 S6 w3 r

        } 9 v% G- z6 g% A6 l! p

5 [/ L: c* a# n$ d

    break;

这里通过$_FILES['file']依次获取了上传文件扩展名$ext、保存临时文件名$name、保存临时文件完整路径$file变量。之后通过new upload();创立一个upload对象，等到$upload->save()时再将文件真正写入。 8 D; D* K0 O% t# s: t$ x2 G

0 b3 L2 I" ~) ?% H1 j8 M

upload对象构造函数如下，include/upload.class.php:25： ! n: S' q, u0 }

<?phpclass upload { & o7 ~" n8 M' [" P( D

4 R1 t+ [7 y, f& g

+ R9 k, R4 V9 i4 w     function __construct($_file, $savepath, $savename = '', $fileformat = '') {

# n% |1 v" C V) H6 h

" V Y( R+ c% N. z# Q         global $DT, $_userid;

        foreach($_file as $file) { " z. _ ]! C& x: L, g( |

4 m) K4 z g' p" z Z! F& C9 j( ?             $this->file = $file['tmp_name'];

# Z% `( W2 D" U; E+ V4 I& R2 ]             $this->file_name = $file['name']; $ t) H1 {! K9 W% ^1 H7 ]' y$ C

: P0 v* V3 \# S# z

: d/ @5 f9 D- O7 m) |: r; B- m             $this->file_size = $file['size'];

            $this->file_type = $file['type'];

# `7 j. J, ^/ q; [% v8 w: S             $this->file_error = $file['error'];

/ e1 n R( R! A) H2 `1 x' K  

0 m" c4 S, K: @

        }

- \$ i) D$ o6 G8 h- n         $this->userid = $_userid;

" O9 l8 U' S2 q0 u8 @' v         $this->ext = file_ext($this->file_name);

& ~2 K: Z* y$ u& P, ~% K

        $this->fileformat = $fileformat ? $fileformat : $DT['uploadtype'];

        $this->maxsize = $DT['uploadsize'] ? $DT['uploadsize']*1024 : 2048*1024; ( y2 y% b' Y4 G

1 m8 X, a& h5 ~6 j( N         $this->savepath = $savepath; $ C, M: I0 c4 }/ I

2 b, L6 Z! O' u4 c0 l; Z

        $this->savename = $savename; 6 Z- Z7 E A w8 [6 M- g/ J

: z3 [ o4 l7 D1 W9 ? D     }} 9 ^, {6 d% @( E$ w' X. c% O- ?

0 D' N$ D& y: A1 [ 这里通过foreach($_file as $file)来遍历初始化各项参数。而savepath、savename则是通过__construct($_file, $savepath, $savename = '', $fileformat = '')直接传入参数指定。 8 n. X3 n$ `0 P+ L

# b3 t' G! ?% O2 t e 因此考虑上传了两个文件，第一个文件名是1.php，第二个文件是1.jpg，只要构造合理的表单上传（参考：https://www.cnblogs.com/DeanChopper/p/4673577.html），则在avatar.inc.php中 ) @5 ]5 D/ `! D" X

+ A5 [( g2 \8 W8 i: i0 Y$ R $ext = file_ext($_FILES['file']['name']); // `$ext`即为`php` $name = 'avatar'.$_userid.'.'.$ext; // $name 为 'avatar'.$_userid.'.'php'$file = DT_ROOT.'/file/temp/'.$name; // $file 即为 xx/xx/xx/xx.php 7 I4 A% ^ i8 A6 l8 P& V

. Z+ y/ ^: Z7 Y* d3 W7 ~

而在upload类中，由于多个文件上传，$this->file、$this->file_name、$this->file_type将foreach在第二次循环中被置为jpg文件。测试如下： . l6 t4 {3 P" |' x6 h; g6 M! w

 

8 B6 @' I% D' q6 D& e1 B V

回到avatar.inc.php，当进行文件保存时调用$upload->save()，include/upload.class.php:50: ; k- O" d! o; b* @: k, m: w( U

<?phpclass upload {

4 X" U+ X2 q- e7 r     function save() { * x, u4 W1 ^0 p3 n

3 c- _ J% n: [9 `

        include load('include.lang'); ; G& P2 o) j9 k+ s$ {

! O4 d& K0 R& Y7 U: m1 G         if($this->file_error) return $this->_('Error(21)'.$L['upload_failed'].' ('.$L['upload_error_'.$this->file_error].')'); 6 k6 H$ Z+ M z9 |( }6 ~

6 ^# g) l7 s. S$ B   , ]& J6 \5 H. r. Y6 Z* o) i' u

6 X# }" O: C2 f; i         if($this->maxsize > 0 && $this->file_size > $this->maxsize) return $this->_('Error(22)'.$L['upload_size_limit'].' ('.intval($this->maxsize/1024).'Kb)'); 5 b! P/ ^- B% u9 B: I# z

( x0 ]4 p# y. }$ d/ O

 

- F# r3 y Q2 c

S( c1 x4 B% f% \6 M- c7 n         if(!$this->is_allow()) return $this->_('Error(23)'.$L['upload_not_allow']);

: p, s+ o& \1 k2 u: Y! d# t   * r0 B. t" v* l9 i9 }8 q% m- X

9 w4 [# S5 R y6 \         $this->set_savepath($this->savepath);

D. w* w9 |% G, Q( O5 N$ x

6 l7 S0 M* A* a% M4 T' C" F         $this->set_savename($this->savename);

! G# l2 l# t! z, K  

[% m% K% g, i! t7 [         if(!is_writable(DT_ROOT.'/'.$this->savepath)) return $this->_('Error(24)'.$L['upload_unwritable']);

1 v, y9 u. G& B* A

* |2 ~; z$ d: I. r" ~0 E         if(!is_uploaded_file($this->file)) return $this->_('Error(25)'.$L['upload_failed']);

+ S' y3 E% \4 _2 C7 m         if(!move_uploaded_file($this->file, DT_ROOT.'/'.$this->saveto)) return $this->_('Error(26)'.$L['upload_failed']); $ a" g% P4 i) `! K! z4 z' R( @

% Z' z2 B( }" H$ z0 w$ X$ v1 y  

0 z: S$ @" T) ?         $this->image = $this->is_image();

        if(DT_CHMOD) @chmod(DT_ROOT.'/'.$this->saveto, DT_CHMOD); ! V9 G _+ j0 x+ a, B* b6 |8 ^

' ]- V8 Y6 R. y5 i5 a: L& |

% Q) E4 X3 C5 ]8 U7 L" G         return true;

7 x* s2 e. @5 w; M2 l a' O. k

+ ?, m* ?7 `. Z1 \% p3 ^     }} ' d) ~! o3 r! x+ ~# z+ A

8 _0 t9 Q. x+ A# ?% u6 _4 Q

! E* ~2 x; E" y: [. m2 \$ d! {: O; k 先经过几个基本参数的检查，然后调用$this->is_allow()来进行安全检查 include/upload.class.php:72： & w5 o: S) |: Q0 S1 x( R7 I

% f8 P T& K9 G( S2 X. w! D

& ^' r% c+ c& a2 ~' X <?php 2 H. a. @! l+ ~* c

" U: F3 y: e) N

, @6 Z* S5 p1 J: T; ~     function is_allow() {

9 @8 H( V# K+ z! ~' S

        if(!$this->fileformat) return false;

; B* E8 W7 J, Q. {4 y2 ~. E$ h9 v         if(!preg_match("/^(".$this->fileformat.")$/i", $this->ext)) return false;

        if(preg_match("/^(php|phtml|php3|php4|jsp|exe|dll|cer|shtml|shtm|asp|asa|aspx|asax|ashx|cgi|fcgi|pl)$/i", $this->ext)) return false; 4 q# o2 ?, }* L% x& q

        return true; ) @6 j7 M6 h/ \+ f2 a4 j! @

3 r, Y. r9 R8 R2 Q+ k' b

    } $ `" Q2 P: E# x1 e

可以看到这里仅仅对$this->ext进行了检查，如前此时$this->ext为jpg，检查通过。 - J4 ?+ ]2 e0 h. N

) h$ q+ b! b8 B8 ^

接着会进行真正的保存。通过$this->set_savepath($this->savepath); $this->set_savename($this->savename);设置了$this->saveto，然后通过move_uploaded_file($this->file, DT_ROOT.'/'.$this->saveto)将file保存到$this->saveto ，注意此时的savepath、savename、saveto均以php为后缀，而$this->file实际指的是第二个jpg文件。

' i3 V u' D2 g- U' J4 q) \

1 H9 }9 w. U# C! Y 漏洞利用

) w# T* w9 [6 t

& ~- ~& o& \- B# `7 O 综上，上传两个文件，其中第一个文件以php为结尾如1.php，用于设置后缀名为php；第二个文件为1.jpg，jpg用于绕过检测，其内容为php一句话木马(图片马)。 7 E% ^5 s, V* _5 a& G* Y" K' g% U( B

: N8 y* i7 z, y0 a) C( C4 v8 s$ P

' ]! `8 W& x; X/ G; k+ D5 l   ( M# {8 F9 P3 P( k" p9 ^4 \

然后访问http://127.0.0.1/file/temp/avatar1.php 即可。其中1是自己的_userid 7 v3 b) z/ s5 j9 ]

8 j* |8 H* X2 N5 x- J% \5 [) t

不过实际利用上会有一定的限制。 - @# P8 M0 p$ P; w* {# W

* F3 h( z5 t: [0 Y x/ l

# K* b! s/ C6 R$ H9 l. @ 第一点是destoon使用了伪静态规则，限制了file目录下php文件的执行。

Y! W; Z1 c1 ?) y

 

3 K1 v2 e! M0 I; F5 u

! s0 f6 H U c& ?* B; o! ~5 q 第二点是avatar.inc.php中在$upload->save()后，会再次对文件进行检查，然后重命名为xx.jpg：

. s$ ^/ U8 H! y6 _

省略...$img = array();$img[1] = $dir.'.jpg';$img[2] = $dir.'x48.jpg';$img[3] = $dir.'x20.jpg';$md5 = md5($_username);$dir = DT_ROOT.'/file/avatar/'.substr($md5, 0, 2).'/'.substr($md5, 2, 2).'/_'.$_username;$img[4] = $dir.'.jpg';$img[5] = $dir.'x48.jpg';$img[6] = $dir.'x20.jpg';file_copy($file, $img[1]);file_copy($file, $img[4]);省略... 6 g ^4 D' T+ k5 B5 U7 }* K% [

3 U8 C, u- n B1 A5 Y5 V

6 Y2 V, c2 J( i. L9 j7 E 因此要利用成功就需要条件竞争了。 6 C/ y/ Z ~6 r: {" [) v* d B

3 y, }4 h7 \) [! n

% I2 v' l0 [6 @. F# d. [1 P3 K, u 补丁分析

  $ G! u7 m8 D7 L" @5 O S

在upload的一开始，就进行一次后缀名的检查。其中is_image如下： 8 O1 G( F3 h% M8 Y' o/ B+ }

function is_image($file) {    return preg_match("/^(jpg|jpeg|gif|png|bmp)$/i", file_ext($file));} 8 n% |) Z9 o) N

$ f, t2 g m* @8 {& s   0 u" Q: q* u' }$ E

3 P+ J6 F9 i' B/ a

7 K0 W' S5 d; e1 H+ N: ^5 B3 ^6 @ 在__construct()的foreach中使用了break，获取了第一个文件后就跳出循环。 + [& S( [: i8 ]9 Y0 p! ]5 i4 x

D% C- a" K% v9 j/ r

0 K" m1 M1 n. I+ L" W- N" o 在is_allow()中增加对$this->savename的二次检查。

( ]5 q. X- T5 }4 w) K( j0 F 最后

嘛，祝各位大师傅中秋快乐！ 6 O# F/ @7 \2 w% q" T2 F

& k# a6 t/ |: \% B" u

( }# f3 A0 e' _  

5 m$ a9 K9 @+ U