Destoon cms前台getwebshell

admin

! [- k; Y9 ?+ P+ z

前言 % A- L* g8 J( s7 Z* K" W

/ m+ J. u; E6 s/ b" ^

2018年9月21日，Destoon官方发布安全更新，修复了由用户“索马里的海贼”反馈的一个漏洞。

  ( _5 I0 l0 F0 \7 u

* n( ], u2 F3 Q7 E! b& w# k& C' t

漏洞分析 0 N6 g( h, E O; C6 w' n* s l0 ~5 u

2 U8 B% [( n* F8 L2 [

根据更新消息可知漏洞发生在头像上传处。Destoon中处理头像上传的是 module/member/avatar.inc.php 文件。在会员中心处上传头像时抓包，部分内容如下： 1 L, K% I& W @- b, z9 R* j

 

; G( X4 }5 ]1 t5 x

; ?* [/ K H6 n5 v" i! G5 L, a/ V: v 对应着avatar.inc.php代码如下：

6 f) m9 \1 z& u9 a/ [

/ T+ G1 E5 Y" n- k% C7 M <?php defined('IN_DESTOON') or exit('Access Denied');login();require DT_ROOT.'/module/'.$module.'/common.inc.php';require DT_ROOT.'/include/post.func.php';$avatar = useravatar($_userid, 'large', 0, 2);switch($action) { m7 o# _, x- a1 d# g

1 p+ ~6 H' p8 R" I/ ]9 v

! ]; _4 l* W! t5 a% m) O- Z* Y     case 'upload': ( J/ G! S% N) O; Z7 |/ [

) g: u& m/ N% @

1 Z& f" N% C( a0 b         if(!$_FILES['file']['size']) {

( n0 X. W. Y0 [3 @             if($DT_PC) dheader('?action=html&reload='.$DT_TIME);

% z0 d2 m7 R* P5 Y J             exit('{"error":1,"message":"Error FILE"}');

" s" O! ~7 |. d: f0 {5 U6 N         }

7 j U9 [( M+ E$ Z0 n

3 T! z! S* h) \' Q/ ]         require DT_ROOT.'/include/upload.class.php'; + l; \4 z- t6 t" j; [; z

: e" b' n+ L7 p, p& K9 b  

$ M1 R( w2 d$ I5 }+ y

        $ext = file_ext($_FILES['file']['name']); # Y' D0 v$ M' n0 R

        $name = 'avatar'.$_userid.'.'.$ext;

        $file = DT_ROOT.'/file/temp/'.$name;

; L% D' R& }( \   + }( O1 f6 a* D+ k

( ~$ r& ]4 B5 ~: U7 Z. j

        if(is_file($file)) file_del($file); ; f% ]; Q# C% m, F

        $upload = new upload($_FILES, 'file/temp/', $name, 'jpg|jpeg|gif|png'); 9 K I, L6 {5 ]$ W6 ^) g. b4 E

$ z/ _- V8 L; [, g0 x

  3 d: V+ z# S) b0 p3 |& F

        $upload->adduserid = false; ) Q2 {7 U5 Q% ]9 J

! O R) Z1 a0 r7 I' y' P

* H# q- `- x$ |, S* d2 K   4 C2 ~, y9 w6 K; ]. n5 ]

4 I+ z4 w8 f/ z S( c5 {. i: z* A

        if($upload->save()) {

, r( v8 U! \9 m

4 |: m" ]( L% ~# ?             ...

0 J! T1 C7 m$ G         } else {

7 w. O2 h8 T4 d4 e) g2 x' w: q( [             ...

        } 6 J7 B. i; l* D- _2 _3 c& q* V' T

    break;

- Q9 M& x" \7 W" \ 这里通过$_FILES['file']依次获取了上传文件扩展名$ext、保存临时文件名$name、保存临时文件完整路径$file变量。之后通过new upload();创立一个upload对象，等到$upload->save()时再将文件真正写入。 9 x+ V$ @# \: w4 s# M

upload对象构造函数如下，include/upload.class.php:25：

" F2 J0 f& V a4 p! h <?phpclass upload { : s$ d: b+ Z" t; P

# k) q0 e0 R4 j5 v3 q+ X7 g) k

    function __construct($_file, $savepath, $savename = '', $fileformat = '') {

3 G7 U6 b7 _9 d' A7 S

& ~6 e/ q3 i! | m- k3 K         global $DT, $_userid; 7 q; |1 o3 o0 G1 y9 t, j

" j3 v! J4 S) g

4 q9 p) W; N& ?8 z         foreach($_file as $file) {

9 }8 F: F9 }) D8 V6 {

            $this->file = $file['tmp_name']; - F& K" p$ S$ I0 R. f! M

            $this->file_name = $file['name']; 9 o- v8 I/ S0 E% }3 l4 O, X

# |1 b9 }' K/ {% x! u* V             $this->file_size = $file['size'];

% P$ k/ A! s, q& j5 ?

\! w+ M/ ^& X3 l             $this->file_type = $file['type']; + ]- @2 I+ d1 i8 x1 |1 m8 e* W1 T

. H; v1 r4 z) n5 i9 a" b

            $this->file_error = $file['error']; 3 r5 O2 R3 W- E2 e R5 w

; j& x }( ?3 C8 a# P0 |% A

7 l9 Q5 f4 } H+ c   # d- m0 @& T4 V& C& R

0 e6 D# n; {, ~. Y N6 \6 }0 j

& c9 k& @: i9 g; m4 H2 C         } , ?- u8 W$ m( g& X) @ h

9 L$ _8 O, P* H' O1 W! } a

- w% n5 Q: U/ y- @% y         $this->userid = $_userid; 9 L/ Y X/ ^5 v2 r& m: f) w/ ^

& f4 F( v" [5 Q. S# S

        $this->ext = file_ext($this->file_name);

        $this->fileformat = $fileformat ? $fileformat : $DT['uploadtype'];

$ w5 ]3 v; ?0 \

        $this->maxsize = $DT['uploadsize'] ? $DT['uploadsize']*1024 : 2048*1024;

: I0 G; B: N9 Z$ A! x# ~ I$ H         $this->savepath = $savepath;

' n5 }: V( ]) h( Q( {         $this->savename = $savename; & W6 K5 E3 |* k" e% P3 V0 K

. `" P; u7 o/ b/ o

8 _- G6 E* }" d- q     }}

& o& a& k* f _; r6 x3 j& K 这里通过foreach($_file as $file)来遍历初始化各项参数。而savepath、savename则是通过__construct($_file, $savepath, $savename = '', $fileformat = '')直接传入参数指定。 / V0 m% C$ @) Y+ V; ?% H2 \

5 }4 ?& b0 W2 Y9 j+ R 因此考虑上传了两个文件，第一个文件名是1.php，第二个文件是1.jpg，只要构造合理的表单上传（参考：https://www.cnblogs.com/DeanChopper/p/4673577.html），则在avatar.inc.php中

' i6 Y7 Y! O6 T! m

% m, I0 |; E/ r- f; ?1 W $ext = file_ext($_FILES['file']['name']); // `$ext`即为`php` $name = 'avatar'.$_userid.'.'.$ext; // $name 为 'avatar'.$_userid.'.'php'$file = DT_ROOT.'/file/temp/'.$name; // $file 即为 xx/xx/xx/xx.php

: K# \" |# d3 R9 `

而在upload类中，由于多个文件上传，$this->file、$this->file_name、$this->file_type将foreach在第二次循环中被置为jpg文件。测试如下： : c0 x9 N. P/ v

& V: W7 @4 b6 e: @0 e, T

 

# h" R6 r/ u8 w/ i7 n1 p. h- V

. E, u: x/ F. L5 v9 ^% T/ `& ] a 回到avatar.inc.php，当进行文件保存时调用$upload->save()，include/upload.class.php:50: 0 a+ e! k- K# g, @

<?phpclass upload { ) V1 s8 K u' ^: W+ N& P0 s

    function save() { * m( h# g/ B( e4 I2 P6 ]

3 [7 q" b( }; O/ k# N" X5 [; Y. ?# k         include load('include.lang'); , H& W* Z" `, q3 e, r

9 C9 H; n5 U; [9 _/ |( W2 v8 e

        if($this->file_error) return $this->_('Error(21)'.$L['upload_failed'].' ('.$L['upload_error_'.$this->file_error].')');

& z: D" o$ Q# S. w5 l

 

: j7 O( h5 S3 z. | v+ q

* Z5 X# x; d) [6 G8 w4 E$ g4 \         if($this->maxsize > 0 && $this->file_size > $this->maxsize) return $this->_('Error(22)'.$L['upload_size_limit'].' ('.intval($this->maxsize/1024).'Kb)');

 

, m, S$ G/ A) C; Q& D6 |& e% w

        if(!$this->is_allow()) return $this->_('Error(23)'.$L['upload_not_allow']); : f* Q. A' S y

; H/ i# V4 Y6 p7 M  

$ m' E8 n% i, T3 U# o8 x' L5 [$ R

1 }: X) e/ q& h; Q: V! S         $this->set_savepath($this->savepath); 3 g1 N: y: `: A; h5 @ J3 \; x: S

' G" q0 c) @) n2 |& T; ?+ k2 M

; v9 m7 V% q1 F" @9 x         $this->set_savename($this->savename); ; H- Y4 M* L9 F5 V, h

! v; _+ I8 ^: C7 {  

        if(!is_writable(DT_ROOT.'/'.$this->savepath)) return $this->_('Error(24)'.$L['upload_unwritable']); 0 R' t6 i7 Y) S

        if(!is_uploaded_file($this->file)) return $this->_('Error(25)'.$L['upload_failed']); & i, O0 S. v- n$ C

        if(!move_uploaded_file($this->file, DT_ROOT.'/'.$this->saveto)) return $this->_('Error(26)'.$L['upload_failed']);

$ A) ^) |* i& F6 k, t6 y% T0 s# a) h) z. e  

5 w; r, A' d$ K7 i, M

' t+ J) r2 f, ?' k2 G$ ^         $this->image = $this->is_image();

# I, n( X* r$ F' U1 Z- B# i# N# B' N         if(DT_CHMOD) @chmod(DT_ROOT.'/'.$this->saveto, DT_CHMOD); 7 r, L3 K& \* N+ {, ]% O' v

8 B" r5 ^# G2 i% e

3 l4 S# X( n8 Z* H# x/ G4 o         return true;

4 m% U( S8 f, _& P& d

    }}

先经过几个基本参数的检查，然后调用$this->is_allow()来进行安全检查 include/upload.class.php:72：

, x+ \; x4 }+ }+ h

<?php

8 r5 L( P$ @: {0 l

& K0 E1 P9 @$ b6 j2 Q* T* c0 W     function is_allow() {

( p, N* Q( G2 B5 f- }/ K

        if(!$this->fileformat) return false;

# o% E; z/ `* l; x4 p0 J

8 V! q Z4 m) H         if(!preg_match("/^(".$this->fileformat.")$/i", $this->ext)) return false;

: D; |) S: E0 o7 s2 W

+ ?; T% R& a$ | j; ^+ G         if(preg_match("/^(php|phtml|php3|php4|jsp|exe|dll|cer|shtml|shtm|asp|asa|aspx|asax|ashx|cgi|fcgi|pl)$/i", $this->ext)) return false;

# p( c# ~6 L& B4 U, @         return true; 3 @. W& x7 f/ T# g0 F* @: _

+ i+ T9 T I( G; [# p     }

可以看到这里仅仅对$this->ext进行了检查，如前此时$this->ext为jpg，检查通过。 2 J, b+ J6 F5 X3 u6 [/ d. Y4 P

+ Z+ }+ N0 L& u% Q: d$ {6 p 接着会进行真正的保存。通过$this->set_savepath($this->savepath); $this->set_savename($this->savename);设置了$this->saveto，然后通过move_uploaded_file($this->file, DT_ROOT.'/'.$this->saveto)将file保存到$this->saveto ，注意此时的savepath、savename、saveto均以php为后缀，而$this->file实际指的是第二个jpg文件。 " n9 u( L w8 N7 K3 e' Y- `6 H6 A0 F

9 ~4 [5 ^3 W* ~2 M: }: d

1 v8 k0 P8 y& ?0 ^' n$ g& N 漏洞利用

综上，上传两个文件，其中第一个文件以php为结尾如1.php，用于设置后缀名为php；第二个文件为1.jpg，jpg用于绕过检测，其内容为php一句话木马(图片马)。

 

" L6 y( K7 Y. ], e 然后访问http://127.0.0.1/file/temp/avatar1.php 即可。其中1是自己的_userid ! k( f* f6 _2 {

+ X0 r, u# @+ Y) K9 f

不过实际利用上会有一定的限制。 1 b; r) x% p: u6 X# n" Y1 O, D

第一点是destoon使用了伪静态规则，限制了file目录下php文件的执行。 & {7 a; Q! ~! P8 _& s) G4 t q) J W

, L) t6 \( e; ~2 V2 V; n

{" ^5 w9 }2 V# i' ?& k   * \) U1 R/ P' o! B" l

第二点是avatar.inc.php中在$upload->save()后，会再次对文件进行检查，然后重命名为xx.jpg：

; q6 T5 x6 ^ j* N- j

9 V9 r Y5 `( p# U3 t7 I+ A 省略...$img = array();$img[1] = $dir.'.jpg';$img[2] = $dir.'x48.jpg';$img[3] = $dir.'x20.jpg';$md5 = md5($_username);$dir = DT_ROOT.'/file/avatar/'.substr($md5, 0, 2).'/'.substr($md5, 2, 2).'/_'.$_username;$img[4] = $dir.'.jpg';$img[5] = $dir.'x48.jpg';$img[6] = $dir.'x20.jpg';file_copy($file, $img[1]);file_copy($file, $img[4]);省略...

因此要利用成功就需要条件竞争了。

7 H3 P: U; F, a( R6 N1 ~' V

补丁分析 z3 c, W O9 q( n- s

  * ]4 @) P9 ]9 V a6 ~

在upload的一开始，就进行一次后缀名的检查。其中is_image如下：

( t# N( Z; `5 [ B; M, n) N; G function is_image($file) {    return preg_match("/^(jpg|jpeg|gif|png|bmp)$/i", file_ext($file));} ! Y) M5 K& J2 ?! t9 I. }$ E

# v5 }* I! O: `" _" s4 m' N

# Y: M: X( g; M0 J {, q' H   4 F- o1 Z' ^4 q

在__construct()的foreach中使用了break，获取了第一个文件后就跳出循环。 6 u( T/ U: }' B% a [9 z+ F6 \) O

1 X7 e$ |6 u" ?) y- N- H 在is_allow()中增加对$this->savename的二次检查。 : t/ O2 H$ x% q( U5 H7 [

最后 6 _: ?1 E4 }7 {! M- U

# n l9 S* t: C, K! s& L/ j

嘛，祝各位大师傅中秋快乐！

/ J5 U3 ?* p$ q7 j6 w5 U   6 B, `1 w( b7 q4 ]& @$ d