Destoon cms前台getwebshell

admin

前言

/ v( V! b# |9 j- S 2018年9月21日，Destoon官方发布安全更新，修复了由用户“索马里的海贼”反馈的一个漏洞。 1 _' V+ o- S1 f8 \

( \. k- C$ p3 q9 Q

! b& W/ {# c0 K   / f/ f5 z7 ]8 m1 d j( Z* d, t

; H& e. l8 o, p o$ q+ m

, B- c! a' o8 k9 G% Z 漏洞分析 ! g" e- ~( m7 q9 |! s# E+ a

& m5 o* Y; o- T& F# n' a' V 根据更新消息可知漏洞发生在头像上传处。Destoon中处理头像上传的是 module/member/avatar.inc.php 文件。在会员中心处上传头像时抓包，部分内容如下： / T% [( |; O; P9 u

J: s, y* { v! }4 M2 r/ `   7 t; s" R8 p& O4 \) w% s* O# J+ E

对应着avatar.inc.php代码如下： 6 b% u; I# ^! m6 g* I' Z+ F

, D! C$ z3 W/ h2 n/ S$ L: h. c

/ g) v+ O% S; j8 F* w, M <?php defined('IN_DESTOON') or exit('Access Denied');login();require DT_ROOT.'/module/'.$module.'/common.inc.php';require DT_ROOT.'/include/post.func.php';$avatar = useravatar($_userid, 'large', 0, 2);switch($action) {

( Y$ ?: Z3 H3 ]0 V/ S

/ Q4 C9 X8 ]9 }7 d" p7 {     case 'upload': 6 r5 {7 k8 ?5 y; t' a

V( q0 ^& ] ~& D8 a0 q         if(!$_FILES['file']['size']) { , d+ `' y2 W" v$ k

* Z! e# Z3 @- f( C; t

+ f i6 N8 \( ~: x/ H) v$ _& i             if($DT_PC) dheader('?action=html&reload='.$DT_TIME); 8 d# \% V1 J a! K2 W, D

2 }+ Y/ k5 `5 A: y! E, Y) A             exit('{"error":1,"message":"Error FILE"}');

; [3 N2 p, u1 j# \- q. X

; I0 Y; }$ ^! i& Q& z! e         }

+ y/ F3 [3 q- q: d# @) L         require DT_ROOT.'/include/upload.class.php'; x+ `9 G9 J: \: x4 \+ E

% s4 R% a W6 K" U O1 ?: `

7 G6 I h' w5 o9 P   # b. ?% g- G+ Q

% u2 n E4 |# N         $ext = file_ext($_FILES['file']['name']);

        $name = 'avatar'.$_userid.'.'.$ext; 5 P; P( x) p- i: {$ T$ T

        $file = DT_ROOT.'/file/temp/'.$name; 2 w% @8 b8 l8 A A% k5 Y; {* E

 

0 @+ T2 w9 }* O' b

) z3 q1 D X( O; Z         if(is_file($file)) file_del($file); + N8 W; u2 k$ z

        $upload = new upload($_FILES, 'file/temp/', $name, 'jpg|jpeg|gif|png');

% ]; q5 _: p7 ^% D. e, H* m) A

 

        $upload->adduserid = false;

! d* n% I/ f7 G; _- Q  

7 m3 \0 s8 X9 Z8 j: ^

        if($upload->save()) {

8 s) _! @8 }& z& J4 i# p

            ...

# b, m+ Z" z" c F) |, c! s

+ F3 c$ }7 g5 J) K1 K# y         } else {

4 d, [& x. L" A, d% X1 a9 x5 L( [

            ... , r3 u* y* E' ?( |. B0 w

6 I6 Y0 K# L1 c" q% X: ]7 l         }

* Q" c! b; U' v+ P

5 z# q, b! q; D9 T     break; ; n) ]( t7 k! ^8 R1 Z; E

( C- m, k! y" ]$ T 这里通过$_FILES['file']依次获取了上传文件扩展名$ext、保存临时文件名$name、保存临时文件完整路径$file变量。之后通过new upload();创立一个upload对象，等到$upload->save()时再将文件真正写入。

7 S8 m: l- s9 j" a) t- s

upload对象构造函数如下，include/upload.class.php:25： ) u) j' d. W$ O z: L- t

( }3 i8 k. R1 w7 M+ h, X ^ <?phpclass upload {

! a, ~' Y. o) l. o! j& J

" s" [; w0 f Z, Z [     function __construct($_file, $savepath, $savename = '', $fileformat = '') {

% E" I8 p6 B% i5 ]+ X. {         global $DT, $_userid;

; |) q% C d* p) o' T" A

        foreach($_file as $file) {

            $this->file = $file['tmp_name']; ( R: x1 x# u0 f

) a. [; O" C6 s: k5 T! V

            $this->file_name = $file['name'];

            $this->file_size = $file['size']; 1 \% o6 X O, K9 v/ ?

* w, T0 R* ~# y# _; i5 ?! H* i

, @; z' n2 e4 |: w             $this->file_type = $file['type']; % C+ R6 K- L N" Y0 j9 u5 u. `

            $this->file_error = $file['error']; 2 A8 H a! d* H1 s

7 X6 q* G- E- t: \5 N$ R   N% e& x8 Y1 D) [

        } ' @. Y* S! A1 C; G) u

9 u0 S3 K# `! p         $this->userid = $_userid; ( w9 F4 U4 \$ \* }# o0 V

6 e- ~1 p8 L# P' A8 C K         $this->ext = file_ext($this->file_name);

# C$ o! D) |" n) E' Z% ]         $this->fileformat = $fileformat ? $fileformat : $DT['uploadtype']; 9 m2 ^, x) I: _! j0 O0 S+ f

; v& J7 G. U/ c4 ~: F& @         $this->maxsize = $DT['uploadsize'] ? $DT['uploadsize']*1024 : 2048*1024;

! S" B) ]7 L7 c* v" e: s, D& a

        $this->savepath = $savepath;

        $this->savename = $savename;

2 v5 [1 H& L# a' Z! D- u, Q1 V; k0 b1 p

# S4 `% J$ m3 S$ L5 v     }} * J9 m/ k5 w: ?" i. l. v

这里通过foreach($_file as $file)来遍历初始化各项参数。而savepath、savename则是通过__construct($_file, $savepath, $savename = '', $fileformat = '')直接传入参数指定。 8 z2 z- }( {( j. T; L8 T7 U

7 i1 W) ~9 c, z( p# O3 S; s& `8 I0 c

因此考虑上传了两个文件，第一个文件名是1.php，第二个文件是1.jpg，只要构造合理的表单上传（参考：https://www.cnblogs.com/DeanChopper/p/4673577.html），则在avatar.inc.php中 ) L! ?) K& D; H, N k8 P6 n

# b+ q) T9 y( s, F4 F9 v" G: x

$ext = file_ext($_FILES['file']['name']); // `$ext`即为`php` $name = 'avatar'.$_userid.'.'.$ext; // $name 为 'avatar'.$_userid.'.'php'$file = DT_ROOT.'/file/temp/'.$name; // $file 即为 xx/xx/xx/xx.php * B7 M) P5 \; f$ S

而在upload类中，由于多个文件上传，$this->file、$this->file_name、$this->file_type将foreach在第二次循环中被置为jpg文件。测试如下： . u7 h5 ^7 J6 R2 F2 G

  % R8 {; @; n' Z) e

回到avatar.inc.php，当进行文件保存时调用$upload->save()，include/upload.class.php:50:

9 X; a* ?' f# p+ ^% {1 z& x, ? <?phpclass upload {

    function save() { 7 }) [% [4 a' S5 V6 L

; Z3 f3 F0 v) {' B/ Z

5 }' H7 e9 r$ A2 w7 _9 Z( Q         include load('include.lang'); , _; w+ ]+ f3 r

7 S0 x5 h7 q+ L

# a/ J* k j* Z" q# c8 ~) ~         if($this->file_error) return $this->_('Error(21)'.$L['upload_failed'].' ('.$L['upload_error_'.$this->file_error].')');

. f. R! t) A5 ~. Y$ Q' q   ) p6 R: { l( i0 X; f7 x

- d' ^3 o* B& h4 V) d) I

        if($this->maxsize > 0 && $this->file_size > $this->maxsize) return $this->_('Error(22)'.$L['upload_size_limit'].' ('.intval($this->maxsize/1024).'Kb)');

 

8 _3 v7 y9 C# S. j7 D! K7 E6 a$ b V

        if(!$this->is_allow()) return $this->_('Error(23)'.$L['upload_not_allow']); ; \ r4 P. E) J4 _

  : q4 `$ [( u, c! \8 t! }: O! u

0 y+ n' p( c5 E9 k         $this->set_savepath($this->savepath);

        $this->set_savename($this->savename);

  ! T4 Z$ I' ?% r% s; `" O

# U# H+ B" J" E% c3 E

        if(!is_writable(DT_ROOT.'/'.$this->savepath)) return $this->_('Error(24)'.$L['upload_unwritable']); & D% {2 R6 z; m# j' ~* A

        if(!is_uploaded_file($this->file)) return $this->_('Error(25)'.$L['upload_failed']);

        if(!move_uploaded_file($this->file, DT_ROOT.'/'.$this->saveto)) return $this->_('Error(26)'.$L['upload_failed']); ' S2 r) z$ T+ j) w

/ S6 M% n% `0 h& {- i; i, n   3 {2 C3 W. E2 c" A/ ]# j& S

6 e6 y" R+ ?6 Z

        $this->image = $this->is_image(); 3 Z1 A) m5 o+ |

z& L3 Z! \( C

        if(DT_CHMOD) @chmod(DT_ROOT.'/'.$this->saveto, DT_CHMOD);

! i; A2 L+ S+ Y4 M$ [# n

! |) t9 w: B: M0 ?- i+ G         return true;

; [9 }% D! C K8 \7 |

    }}

7 `2 v* X2 K& I( [

先经过几个基本参数的检查，然后调用$this->is_allow()来进行安全检查 include/upload.class.php:72： ; i+ T* J( p0 \3 y" S9 m2 S

<?php

9 N r z+ a" U9 a

    function is_allow() {

/ A$ o" n7 i! y% O% y( W% C: P9 b

        if(!$this->fileformat) return false; 3 w+ Z- b' k8 r

; z& u' i7 a2 {1 o0 e p# J2 O

3 b( g7 L8 W: C) z* h# r" d: `         if(!preg_match("/^(".$this->fileformat.")$/i", $this->ext)) return false;

z. t2 ^0 W5 q1 a         if(preg_match("/^(php|phtml|php3|php4|jsp|exe|dll|cer|shtml|shtm|asp|asa|aspx|asax|ashx|cgi|fcgi|pl)$/i", $this->ext)) return false;

8 X! c5 W0 z) l! E: A5 S         return true; - R6 g7 c) w6 P6 m

    } , e' T, }8 _+ ]" p

o; l9 ~+ A( u* Y2 R8 m

- ~; D/ \# j! D3 j# y, b4 s 可以看到这里仅仅对$this->ext进行了检查，如前此时$this->ext为jpg，检查通过。

5 x A/ z& j+ o' J8 ^! C

: |3 i% T1 B8 x; w$ G7 _7 k7 \! { 接着会进行真正的保存。通过$this->set_savepath($this->savepath); $this->set_savename($this->savename);设置了$this->saveto，然后通过move_uploaded_file($this->file, DT_ROOT.'/'.$this->saveto)将file保存到$this->saveto ，注意此时的savepath、savename、saveto均以php为后缀，而$this->file实际指的是第二个jpg文件。

0 O+ x6 o& O# p6 }- k) x

* j' v: U. C" m" g- m2 M# N$ ? 漏洞利用

2 J7 f- V' T' C 综上，上传两个文件，其中第一个文件以php为结尾如1.php，用于设置后缀名为php；第二个文件为1.jpg，jpg用于绕过检测，其内容为php一句话木马(图片马)。 7 p0 j6 x+ R' @* w$ ~# ~

* n1 b. i( W* b% y

$ i) q2 r, A. n- x  

然后访问http://127.0.0.1/file/temp/avatar1.php 即可。其中1是自己的_userid

^" \* h7 _8 J

不过实际利用上会有一定的限制。 + D/ [4 S+ A+ K# n: F; z% _* q

: [. b; z8 T' `4 h0 P, ?7 X ~

第一点是destoon使用了伪静态规则，限制了file目录下php文件的执行。

 

' n9 @. n9 B/ t/ ]/ l3 w+ j 第二点是avatar.inc.php中在$upload->save()后，会再次对文件进行检查，然后重命名为xx.jpg： 3 f0 i$ s9 E5 M

5 s5 G L" u) ` g 省略...$img = array();$img[1] = $dir.'.jpg';$img[2] = $dir.'x48.jpg';$img[3] = $dir.'x20.jpg';$md5 = md5($_username);$dir = DT_ROOT.'/file/avatar/'.substr($md5, 0, 2).'/'.substr($md5, 2, 2).'/_'.$_username;$img[4] = $dir.'.jpg';$img[5] = $dir.'x48.jpg';$img[6] = $dir.'x20.jpg';file_copy($file, $img[1]);file_copy($file, $img[4]);省略...

因此要利用成功就需要条件竞争了。 * G( |: H+ O' @# O& ^3 H6 D

1 A% U6 i- H+ }6 z7 K 补丁分析 : ~+ P2 F" h# N8 |$ Z8 v+ p" x6 v% H

  # g, s# N$ b5 L6 N' S! k

1 I+ y8 J3 N; W0 @+ z+ b/ q& } 在upload的一开始，就进行一次后缀名的检查。其中is_image如下： : N' c) \0 u- S* f2 C2 {+ E

function is_image($file) {    return preg_match("/^(jpg|jpeg|gif|png|bmp)$/i", file_ext($file));} ) |+ y' X A6 j& `

* X: \! c: V/ n* {* k

, ~4 B* Z) m# x# X2 U o! p  

& y, [$ [. L2 H3 b

在__construct()的foreach中使用了break，获取了第一个文件后就跳出循环。 2 Q: a4 Z" I2 R! n; Q

' a( }, H( w6 L 在is_allow()中增加对$this->savename的二次检查。 9 V, j2 Z2 T' Q4 z1 ]

最后

d. ?" I% v5 V. K2 Q/ L; t

' k4 ]0 c5 |+ l0 x 嘛，祝各位大师傅中秋快乐！ $ ~7 f7 f: |' R6 g6 d. o T& p% W

, s; @$ e7 s% K0 x3 m