Destoon cms前台getwebshell

admin

( ]8 a& p0 |; \8 t% B

( z6 E1 \0 R- p- X1 n/ b* N* G; l

+ h3 }; U# v6 f/ }: f- v 前言 + W. H* P! K' k0 ]* N6 }7 j3 l

2018年9月21日，Destoon官方发布安全更新，修复了由用户“索马里的海贼”反馈的一个漏洞。 2 F+ N, z0 t1 M; t3 Z# j# n$ U5 B

( K1 L& A# u" _

3 ` D: L4 W* K3 A2 ]# A* J. w: J& l   : _+ L/ D* N# F9 K- P0 [( r

! I3 q) ~& `0 \& s' \ 漏洞分析

) O& m( r. p# |" ?# J

根据更新消息可知漏洞发生在头像上传处。Destoon中处理头像上传的是 module/member/avatar.inc.php 文件。在会员中心处上传头像时抓包，部分内容如下：

8 s8 k# h" Z$ H/ i% Z# x7 P1 y   , y5 v& z8 ^$ ^& M

1 A% B- z: R$ |7 q/ H9 z 对应着avatar.inc.php代码如下： 9 l- s) l6 x; s6 c

' Q6 S6 l o' {, E! y3 {4 w. T5 F <?php defined('IN_DESTOON') or exit('Access Denied');login();require DT_ROOT.'/module/'.$module.'/common.inc.php';require DT_ROOT.'/include/post.func.php';$avatar = useravatar($_userid, 'large', 0, 2);switch($action) {

    case 'upload':

6 o& l: r( ]; p2 \$ S2 o

6 D1 H8 y. {8 j- C- C1 v         if(!$_FILES['file']['size']) { 3 A0 y# e$ Z7 d# ~% k3 `, q7 `

/ M7 ? E' A" N; r2 a             if($DT_PC) dheader('?action=html&reload='.$DT_TIME); P# _# T9 I2 g. p9 j& d, X

. S: \ l2 w' [

+ M b; K: b9 G8 C G+ w             exit('{"error":1,"message":"Error FILE"}');

        }

        require DT_ROOT.'/include/upload.class.php';

$ @( ^: {7 A; N  

        $ext = file_ext($_FILES['file']['name']); ! F5 i" }- T# c( G

9 y. i, ?- D! ~% U" U. x

        $name = 'avatar'.$_userid.'.'.$ext;

( V& U2 C2 E/ @4 v) T y% G9 Z

' N. r8 H. u9 ~) h         $file = DT_ROOT.'/file/temp/'.$name; 6 {9 Q* d1 q) a0 I. E

 

- g% V# L, _' K$ s8 j* o3 H; B, s

7 I: M6 \% v6 A k$ C% R9 I         if(is_file($file)) file_del($file);

        $upload = new upload($_FILES, 'file/temp/', $name, 'jpg|jpeg|gif|png'); 6 X- V. |0 n: l2 ~; E" }' J

6 Q" w+ H3 U+ U2 S1 I9 a: N( J/ V4 i

  5 T( Q4 x9 |: h5 E% ?/ m( I& u1 b

        $upload->adduserid = false; # F8 Y+ Y2 h( W \% N

0 k' ^- X5 @& Q3 A! `* ? l6 z  

8 x- s) \% J9 w

        if($upload->save()) {

! W3 S( C4 h) }             ... 6 w+ r4 C! v \- f+ h9 k/ T

        } else {

D. G' O9 V7 b) O/ e             ...

% C2 ~0 d9 x+ C h

        } 7 v t' u9 j4 z1 H+ t8 r3 ~. k

8 Z& L, G. R! x" [- P& `) q$ A+ P7 ]

' R5 \' U% w" I( R3 ]0 s     break;

; }5 q L, K! J& V; v 这里通过$_FILES['file']依次获取了上传文件扩展名$ext、保存临时文件名$name、保存临时文件完整路径$file变量。之后通过new upload();创立一个upload对象，等到$upload->save()时再将文件真正写入。 , v& y6 T, b" v8 U

upload对象构造函数如下，include/upload.class.php:25：

) Y& p! |" V3 ~9 @1 J0 U4 U$ e# S

" ?% \( m3 E6 D4 l6 C4 \* d <?phpclass upload { % h Q5 K; {4 w5 e5 d: K

; y: C$ p8 \4 u2 z; [5 e" y$ ^

/ A0 y u% k2 x; H     function __construct($_file, $savepath, $savename = '', $fileformat = '') { 3 k7 E9 a5 u Z6 e \

3 D1 d. N( M4 M5 `" }

        global $DT, $_userid; # a& x) z& ~. O2 T) F2 ]

2 B' Q- Z+ ]% o5 n

        foreach($_file as $file) { % q h) s: B6 i# z* `

            $this->file = $file['tmp_name']; : o, c7 h" C; ^) i' |. l4 d

3 o1 r7 i" [) y: ]$ v             $this->file_name = $file['name']; / ]$ Y0 @6 T9 i' P" a

* p# k1 ^5 i# D+ _7 T$ l

: y& S5 M g: m8 j             $this->file_size = $file['size']; ' j: d7 _ y( v9 p6 k

' ~9 {( @. K. Z& y

            $this->file_type = $file['type']; - `/ ~0 x8 }8 i0 C8 p$ d

            $this->file_error = $file['error']; 0 o( @7 f% e6 W' F& }

3 ?/ I+ o2 a: r: R4 A) [& \3 N

/ ~+ t8 U t3 @% A! h8 \/ | R! ^   ) }; V. z$ x& V5 a# Y' V

2 p! h0 r* E; `7 x, a

        } & h/ b/ C& Y0 z, k! A5 Q9 U

- H2 q9 z) m. |; Q3 Z

        $this->userid = $_userid; - b" Y. o( M+ p- i C

        $this->ext = file_ext($this->file_name); % G( w" k# L1 G3 {+ G, ]& R- r

        $this->fileformat = $fileformat ? $fileformat : $DT['uploadtype'];

3 Q: Q( e6 j: g2 \6 m/ f8 a

: m7 w9 x$ g4 t8 |+ u+ S         $this->maxsize = $DT['uploadsize'] ? $DT['uploadsize']*1024 : 2048*1024; & M. E1 j S' c

( {; Z5 f" H! ~$ ^/ ]" k& c9 A3 D* s         $this->savepath = $savepath; 5 A7 ?' y" ^1 k( o. a( K8 C

% Q' `# ?9 s8 r$ T; Q

9 f8 w( H7 V- s. c0 i2 Z         $this->savename = $savename;

3 f) l" I' n8 ]$ A% A

    }}

- ]- d9 Y; \8 @- `5 F

这里通过foreach($_file as $file)来遍历初始化各项参数。而savepath、savename则是通过__construct($_file, $savepath, $savename = '', $fileformat = '')直接传入参数指定。 # X! T) g7 U% ^; H& E. Q

0 U! g, `: a) r& D/ i- z 因此考虑上传了两个文件，第一个文件名是1.php，第二个文件是1.jpg，只要构造合理的表单上传（参考：https://www.cnblogs.com/DeanChopper/p/4673577.html），则在avatar.inc.php中

$ext = file_ext($_FILES['file']['name']); // `$ext`即为`php` $name = 'avatar'.$_userid.'.'.$ext; // $name 为 'avatar'.$_userid.'.'php'$file = DT_ROOT.'/file/temp/'.$name; // $file 即为 xx/xx/xx/xx.php % e& |: r5 u$ P; F3 w

5 m. S2 F$ D' h, {$ R8 ?

* } `3 x, A! O" J 而在upload类中，由于多个文件上传，$this->file、$this->file_name、$this->file_type将foreach在第二次循环中被置为jpg文件。测试如下： 2 n/ S8 Z+ k, J; P Y2 p3 {

, w8 J, H2 e y6 o6 S' x( c: ]8 l

9 D- M2 e" }. X  

" v) p8 A v& j6 n' b% ] 回到avatar.inc.php，当进行文件保存时调用$upload->save()，include/upload.class.php:50:

* E9 y) J( _: P& F- ~

<?phpclass upload { / Q' T5 f- ~+ k

    function save() {

0 K' I2 f8 _6 H/ V/ P! y6 _: J         include load('include.lang'); . M; v7 E& i3 x L

5 P4 E. O& B5 a# v! [# W

        if($this->file_error) return $this->_('Error(21)'.$L['upload_failed'].' ('.$L['upload_error_'.$this->file_error].')'); . Q" H D2 c/ H/ B+ \) Z5 {

8 b1 z2 N. l0 `5 x" ~- d. k

 

|' R( c0 {; b$ x

        if($this->maxsize > 0 && $this->file_size > $this->maxsize) return $this->_('Error(22)'.$L['upload_size_limit'].' ('.intval($this->maxsize/1024).'Kb)');

  ( m# ~/ j! Q, I2 F

1 ` F! D6 N9 L

        if(!$this->is_allow()) return $this->_('Error(23)'.$L['upload_not_allow']);

0 y; c# ?5 I h2 E- y I

  5 I6 |% `7 c; @1 D

" K( a" D. G* q/ L8 k6 Z5 S, R: i         $this->set_savepath($this->savepath);

% `5 }) V+ L2 I' T

6 d7 |6 ]: A5 R- S         $this->set_savename($this->savename); ' _- T4 Y, U$ P2 Z' X

4 D- {1 F1 O/ k& }" a% K" C7 H

. k8 i- p* z& [$ E1 |+ u3 V$ f   8 u! R! b+ \, p" S, L( Q

        if(!is_writable(DT_ROOT.'/'.$this->savepath)) return $this->_('Error(24)'.$L['upload_unwritable']);

        if(!is_uploaded_file($this->file)) return $this->_('Error(25)'.$L['upload_failed']);

        if(!move_uploaded_file($this->file, DT_ROOT.'/'.$this->saveto)) return $this->_('Error(26)'.$L['upload_failed']); 4 ^/ }& J4 c/ k3 n

: O9 e+ t+ d7 l8 X0 u* w$ P

( W8 v7 k# R0 e) ]4 w  

. ?: D J6 z% a+ e4 h( U

        $this->image = $this->is_image();

# K4 q7 O8 @6 P! ~         if(DT_CHMOD) @chmod(DT_ROOT.'/'.$this->saveto, DT_CHMOD);

: V2 t" P: j( n( p: ?0 q

        return true; O E* D Q- h/ o+ U% R C

    }}

先经过几个基本参数的检查，然后调用$this->is_allow()来进行安全检查 include/upload.class.php:72：

! l: | U: | v8 v) Q$ w4 ~ <?php # x3 X- H! \) v

! }( E- l* _; M3 b" ?3 f) g

    function is_allow() { + p* U- A4 b: l5 q* G) I

4 M4 I$ T8 k5 s2 a" X" B# [         if(!$this->fileformat) return false;

1 k$ q) ^! C* q

7 H# F) C0 I1 d1 x- T$ G0 ~         if(!preg_match("/^(".$this->fileformat.")$/i", $this->ext)) return false; 2 C9 D( N0 D, [: Z6 m

        if(preg_match("/^(php|phtml|php3|php4|jsp|exe|dll|cer|shtml|shtm|asp|asa|aspx|asax|ashx|cgi|fcgi|pl)$/i", $this->ext)) return false;

8 O- }7 H- n- \' C7 D/ p         return true;

5 g$ i9 G2 s& @3 a& A/ w     } ' L' [1 i9 A$ @+ l& |* C7 }1 B

7 H3 h& Q6 M7 ^) o 可以看到这里仅仅对$this->ext进行了检查，如前此时$this->ext为jpg，检查通过。 : s* r- W+ L9 l+ g) ~0 ~

: D; i) d: ~3 [ 接着会进行真正的保存。通过$this->set_savepath($this->savepath); $this->set_savename($this->savename);设置了$this->saveto，然后通过move_uploaded_file($this->file, DT_ROOT.'/'.$this->saveto)将file保存到$this->saveto ，注意此时的savepath、savename、saveto均以php为后缀，而$this->file实际指的是第二个jpg文件。

漏洞利用

4 I" v- d( X3 e: x, T 综上，上传两个文件，其中第一个文件以php为结尾如1.php，用于设置后缀名为php；第二个文件为1.jpg，jpg用于绕过检测，其内容为php一句话木马(图片马)。

 

% n+ p; y2 p$ I6 f7 G

; f/ f' X0 G% @; y 然后访问http://127.0.0.1/file/temp/avatar1.php 即可。其中1是自己的_userid : d4 q* ^" I' C4 _: `. w0 }

9 v- _9 R+ L$ J* s

不过实际利用上会有一定的限制。 9 k, |5 g4 J$ ?2 ]5 |

第一点是destoon使用了伪静态规则，限制了file目录下php文件的执行。

, @$ z3 P$ a4 G

4 J: E# W7 U) P5 s  

% s. Q/ v4 X7 z! Z! G 第二点是avatar.inc.php中在$upload->save()后，会再次对文件进行检查，然后重命名为xx.jpg：

f7 j8 }' ~. W; p0 b( F

' a# J u: C, z$ M7 r' Q 省略...$img = array();$img[1] = $dir.'.jpg';$img[2] = $dir.'x48.jpg';$img[3] = $dir.'x20.jpg';$md5 = md5($_username);$dir = DT_ROOT.'/file/avatar/'.substr($md5, 0, 2).'/'.substr($md5, 2, 2).'/_'.$_username;$img[4] = $dir.'.jpg';$img[5] = $dir.'x48.jpg';$img[6] = $dir.'x20.jpg';file_copy($file, $img[1]);file_copy($file, $img[4]);省略...

# W8 I% e7 `( O8 G 因此要利用成功就需要条件竞争了。

9 ]; n" X7 H: d1 S. h3 a- a9 w 补丁分析 0 H! V J6 b& t( F( x2 v8 G/ t

 

4 Y/ v/ @& D; h8 F, O S 在upload的一开始，就进行一次后缀名的检查。其中is_image如下： & G) m. l# u+ S. k! w+ T

' b7 e3 v: Z) |$ p, y- _ function is_image($file) {    return preg_match("/^(jpg|jpeg|gif|png|bmp)$/i", file_ext($file));}

1 M }8 I! `' k2 p

 

3 p3 A5 G: N7 n2 c8 j9 C

在__construct()的foreach中使用了break，获取了第一个文件后就跳出循环。 ; v5 e/ H& x; u+ o9 ^/ x

% }0 N* n, U! Z, P x }

% } t9 v: J# `% D! k$ j 在is_allow()中增加对$this->savename的二次检查。 7 H4 g4 k! G6 |$ P( N

5 T2 x: D# a4 b3 @5 o

最后

9 I3 ` @6 H( ?! N) z0 t- W; m 嘛，祝各位大师傅中秋快乐！ Q8 M) f7 f+ z% Q0 o

# p) X% H) q. m) y: `9 Y

  . ]. n8 }6 X/ g4 P' d N

" R1 U, ? {4 B7 G2 g9 _