Destoon cms前台getwebshell

admin

0 ?2 J$ k0 y! b' e' {+ l% V

+ O6 F' C) i1 Q

W& C$ l7 R* H 前言

" q$ H$ i2 e9 }% G3 x. i" A E

2018年9月21日，Destoon官方发布安全更新，修复了由用户“索马里的海贼”反馈的一个漏洞。

3 Y/ c6 n$ d1 S0 B

7 E5 o' W" Q7 i1 i' @   2 A- h" P& q: F7 z9 I/ q

漏洞分析 / {1 R% V4 P3 N8 {& S

$ a! N$ [. c a4 \

o) _5 a. J5 Z 根据更新消息可知漏洞发生在头像上传处。Destoon中处理头像上传的是 module/member/avatar.inc.php 文件。在会员中心处上传头像时抓包，部分内容如下：

# z( m) n, v" S' F   # x9 Q) V6 j2 Q& l; t. D

7 C6 V% i0 F+ X& C+ W

" g {0 D7 Z# e; }. f3 C 对应着avatar.inc.php代码如下： 7 w }! R% t+ G/ D( G: [

, s, m7 K% w1 ?* m

( C, |! f/ j5 f. M# u <?php defined('IN_DESTOON') or exit('Access Denied');login();require DT_ROOT.'/module/'.$module.'/common.inc.php';require DT_ROOT.'/include/post.func.php';$avatar = useravatar($_userid, 'large', 0, 2);switch($action) {

    case 'upload': ! o' p1 f, Q7 n2 b9 ^, I, |

        if(!$_FILES['file']['size']) { 8 }) a$ n; K0 \/ i, b

% J8 n! `* a; b& R8 e g& o9 S

            if($DT_PC) dheader('?action=html&reload='.$DT_TIME);

/ i7 k+ \, D$ t, f: Z8 o7 Q$ Z7 J( z

+ `7 L# z. z" f; o4 C4 G" s             exit('{"error":1,"message":"Error FILE"}');

# a) u, O! e1 X5 x1 V( c" A8 Q         }

6 G) W0 F8 J1 G+ H& t2 a, |( \9 k

* D4 ]. G1 H" X% D( S( @6 E/ w) C2 ~7 r         require DT_ROOT.'/include/upload.class.php';

4 Y5 _% H' H' w

 

        $ext = file_ext($_FILES['file']['name']); 1 w3 G0 _0 a5 {8 G8 c' E

        $name = 'avatar'.$_userid.'.'.$ext; n: N: ]" h) o" r* X

        $file = DT_ROOT.'/file/temp/'.$name; ( {9 n$ a# [5 a

  T$ M9 t3 V( e- j" u

        if(is_file($file)) file_del($file);

( @ |" v0 n9 V2 q0 m/ \6 i

& O- i: ]2 N, D         $upload = new upload($_FILES, 'file/temp/', $name, 'jpg|jpeg|gif|png');

8 r6 D6 K% Y* ~

( W9 @, Q" M/ `   ! F( U, E% `" ?7 ~% h* g$ ?7 v5 ]

        $upload->adduserid = false;

# i, g1 W+ |& \4 ? v   ; K, n6 c; K3 S/ H0 r3 v' [0 n

2 M' E( p, C3 q& j

' l2 r, L! X& {! d         if($upload->save()) { 9 W1 i5 y3 f, n# O1 m* r

! e; Y% v$ @5 v9 `6 d

2 w$ i2 H! s. l4 F; n             ...

5 h5 ?3 r2 A/ S+ |5 l- e0 p' q' ?* Z3 r

        } else { ( }9 C$ s6 v d4 a. d- H) n

0 D; H, k" M8 c2 e

( O# R# P; Y+ W             ...

* ?! p, j# [3 C3 J4 T. S2 H         }

: `3 t; a0 W3 `' c

/ G: P6 e# K4 I     break;

这里通过$_FILES['file']依次获取了上传文件扩展名$ext、保存临时文件名$name、保存临时文件完整路径$file变量。之后通过new upload();创立一个upload对象，等到$upload->save()时再将文件真正写入。 % E9 G1 z( f4 }6 _1 c8 S

' T- d# o9 q/ ], p4 j* x upload对象构造函数如下，include/upload.class.php:25： . X |7 b. d* a1 _' n% L

7 q ]# R4 o( {+ U+ \& t' I+ v <?phpclass upload {

& w: C% R( Z' x3 ~8 w4 F( ]4 t4 {7 P     function __construct($_file, $savepath, $savename = '', $fileformat = '') { " ~ k( z: D+ w

+ C3 x1 ~2 A+ D8 {. j

% @6 F* f. y( E+ n0 X* ]         global $DT, $_userid; M6 n( k2 F0 R* X4 G6 l5 J

        foreach($_file as $file) {

            $this->file = $file['tmp_name']; @! |0 L/ s" J9 k, v/ j3 N

            $this->file_name = $file['name'];

            $this->file_size = $file['size']; : Q$ x3 j) M( f9 C& k

: T* Y# W' o4 V8 j; N/ M$ g6 F             $this->file_type = $file['type'];

- E; n8 R* w* v7 e% g# \' |" g+ y! p

5 c) i# | x- l8 G. E+ R             $this->file_error = $file['error']; 9 ?( P0 S6 n0 g- t% \, O

- z- J; ]' S1 y; C+ G2 `

) _! Q5 P& O! c   $ ~6 W' ?6 O/ t( D/ R+ a) @. [

8 l& m$ k" K" U* a, j/ x' r/ N

        }

+ u7 \/ s @0 ]

& F6 }; \4 a6 N& s# j- v2 ]* O3 Z         $this->userid = $_userid;

2 l3 l2 T C. I; E5 U

6 a W/ W9 v8 h2 V         $this->ext = file_ext($this->file_name); * I G0 V) b1 d- l4 i7 _

# V3 A$ |2 p _/ `( A7 t) e# h! U

        $this->fileformat = $fileformat ? $fileformat : $DT['uploadtype'];

2 E4 t% d# N- ^' t8 G9 O. e1 I4 B

' L; x9 J! _3 U: Y( p1 e3 b         $this->maxsize = $DT['uploadsize'] ? $DT['uploadsize']*1024 : 2048*1024; $ S/ c4 X2 f. a1 U: L/ e% }3 z) G

        $this->savepath = $savepath; 7 `' V: f/ [0 d: H' \/ G

. c+ \; f+ m4 C

        $this->savename = $savename; + d3 I3 z, I2 K( s

4 d* {6 L1 `; B     }}

7 c; Q1 J6 I' j0 m" {7 E( h$ f$ r 这里通过foreach($_file as $file)来遍历初始化各项参数。而savepath、savename则是通过__construct($_file, $savepath, $savename = '', $fileformat = '')直接传入参数指定。 7 l) ~% b* f( N" G; r( } j" {

因此考虑上传了两个文件，第一个文件名是1.php，第二个文件是1.jpg，只要构造合理的表单上传（参考：https://www.cnblogs.com/DeanChopper/p/4673577.html），则在avatar.inc.php中

# |% U( _1 c3 F

6 Q' O6 Q$ ]+ W8 k8 k $ext = file_ext($_FILES['file']['name']); // `$ext`即为`php` $name = 'avatar'.$_userid.'.'.$ext; // $name 为 'avatar'.$_userid.'.'php'$file = DT_ROOT.'/file/temp/'.$name; // $file 即为 xx/xx/xx/xx.php 1 k% X+ d0 G) h4 K D

+ Z. Z$ f1 f! ~5 n. ?

9 D' p) F1 {: c+ P0 h& n/ U0 I( ? 而在upload类中，由于多个文件上传，$this->file、$this->file_name、$this->file_type将foreach在第二次循环中被置为jpg文件。测试如下： # m3 F7 e; f/ [; R0 D2 B* {

& ^ y, e5 c4 `/ w- E2 r8 {

  " K! a- S! }5 s) U- c

& o2 B+ Z/ O* m) B2 l9 A. L

7 z7 Z/ ]& q! d7 z% N, p5 b# o 回到avatar.inc.php，当进行文件保存时调用$upload->save()，include/upload.class.php:50:

" B; X7 L7 U8 \# }

<?phpclass upload { ; O- l& ?- D9 w

8 B: l4 h; i, ~* ~5 y

% B1 O2 Z) \# x. {3 P     function save() {

) Q. p7 u8 J$ _9 ]' B4 j0 [1 U         include load('include.lang'); `& `* C. H- t

+ d. y/ u8 y- b% r3 M! v         if($this->file_error) return $this->_('Error(21)'.$L['upload_failed'].' ('.$L['upload_error_'.$this->file_error].')'); ) E$ t; M/ n5 z: q

( \( W6 [2 ^6 t* d# t

5 e. l( k* @) h4 u* N2 N- x2 |   ! X" j l* i. L

        if($this->maxsize > 0 && $this->file_size > $this->maxsize) return $this->_('Error(22)'.$L['upload_size_limit'].' ('.intval($this->maxsize/1024).'Kb)'); $ v9 F9 \7 o4 }# w0 o% {+ K

& o. t- {. P! S6 T w

6 d+ S1 Q7 u" u8 ]/ h( ]  

, k6 s9 ]9 a3 B" ` J7 q# u- d

        if(!$this->is_allow()) return $this->_('Error(23)'.$L['upload_not_allow']);

/ ^4 S {7 l) _9 \ K( K

  + J+ M3 T& w- s5 `6 s7 l7 L L

        $this->set_savepath($this->savepath);

        $this->set_savename($this->savename);

4 F8 V' o- h, I3 t4 C1 @  

9 M2 h2 v3 g: t" A& W8 F         if(!is_writable(DT_ROOT.'/'.$this->savepath)) return $this->_('Error(24)'.$L['upload_unwritable']);

        if(!is_uploaded_file($this->file)) return $this->_('Error(25)'.$L['upload_failed']); 3 Q' a/ e" ?- L: N3 y

: s' M4 F# K2 U9 w0 S* s

4 E, R& j! u" g' n7 Q6 @1 N( }5 h' u         if(!move_uploaded_file($this->file, DT_ROOT.'/'.$this->saveto)) return $this->_('Error(26)'.$L['upload_failed']); 6 R! n4 N3 [8 [$ {

! k- V; S8 ^, @( E+ P2 V. b2 C

6 J2 R8 [, }+ p: J* P. e   - ~' F% B+ f7 o- ^3 t3 l5 `

' m( I9 `( H% d( [         $this->image = $this->is_image(); 6 E% F5 a9 i- {+ k. k" B

6 f- v- D+ g7 @- Y: i         if(DT_CHMOD) @chmod(DT_ROOT.'/'.$this->saveto, DT_CHMOD); 7 U& I0 I9 b9 J3 Q" A

        return true;

* j. b/ _# R* x     }}

+ d H' f' C1 A1 ~+ P1 T9 U, { 先经过几个基本参数的检查，然后调用$this->is_allow()来进行安全检查 include/upload.class.php:72： 3 J+ w3 o5 y9 C& k/ G" o

* e7 }" m9 p3 Q) J

/ u6 O) u' I6 f& R( G, E! o) x <?php

# @0 \# n- m6 ~- C' o

: X1 }% L$ A/ [+ Q, h' B5 F9 q     function is_allow() {

        if(!$this->fileformat) return false;

        if(!preg_match("/^(".$this->fileformat.")$/i", $this->ext)) return false; - T$ N; y& L+ @, |5 p8 g% d4 W

% w( w6 D5 Z' o6 L) i$ q0 f

        if(preg_match("/^(php|phtml|php3|php4|jsp|exe|dll|cer|shtml|shtm|asp|asa|aspx|asax|ashx|cgi|fcgi|pl)$/i", $this->ext)) return false;

- E9 p5 n: c+ R( k ?) O% w: s

        return true;

    }

7 }5 ?# K% g! K6 R9 w+ Q0 J

4 E/ |6 S u& x6 {0 H) U 可以看到这里仅仅对$this->ext进行了检查，如前此时$this->ext为jpg，检查通过。 : _# K! j0 Y- `2 m

接着会进行真正的保存。通过$this->set_savepath($this->savepath); $this->set_savename($this->savename);设置了$this->saveto，然后通过move_uploaded_file($this->file, DT_ROOT.'/'.$this->saveto)将file保存到$this->saveto ，注意此时的savepath、savename、saveto均以php为后缀，而$this->file实际指的是第二个jpg文件。 3 L' Q8 u+ N! ?" j/ c

" w" ~% O* [3 |5 J6 A" g- \7 M3 |

- [) g9 B: C. o7 n; _ 漏洞利用

6 i* m1 R- ?; {- A

( g2 \7 c) K; M) x2 d 综上，上传两个文件，其中第一个文件以php为结尾如1.php，用于设置后缀名为php；第二个文件为1.jpg，jpg用于绕过检测，其内容为php一句话木马(图片马)。

, B% Y& P9 p. j4 f, {; L3 v

, G, }0 G2 \+ q9 B  

然后访问http://127.0.0.1/file/temp/avatar1.php 即可。其中1是自己的_userid / l( M2 J2 h' l: l% z

8 g/ n; C! K( P 不过实际利用上会有一定的限制。

' C; ~+ L/ u2 I: \' o8 I

第一点是destoon使用了伪静态规则，限制了file目录下php文件的执行。 ! b& C/ Y& D, i' ]

1 u( w. v8 b, `5 m# P

  ( }% B* x3 D8 f$ l+ L

第二点是avatar.inc.php中在$upload->save()后，会再次对文件进行检查，然后重命名为xx.jpg： 7 S' C9 j, R3 u4 B5 G0 k

省略...$img = array();$img[1] = $dir.'.jpg';$img[2] = $dir.'x48.jpg';$img[3] = $dir.'x20.jpg';$md5 = md5($_username);$dir = DT_ROOT.'/file/avatar/'.substr($md5, 0, 2).'/'.substr($md5, 2, 2).'/_'.$_username;$img[4] = $dir.'.jpg';$img[5] = $dir.'x48.jpg';$img[6] = $dir.'x20.jpg';file_copy($file, $img[1]);file_copy($file, $img[4]);省略... 7 d8 q* O# L& I/ L5 [

因此要利用成功就需要条件竞争了。

. Z/ Q; T4 b" u

补丁分析

2 y( J8 P& z0 c  

在upload的一开始，就进行一次后缀名的检查。其中is_image如下：

* n4 C: n& i5 V

; u. j# V# V' [7 H9 A function is_image($file) {    return preg_match("/^(jpg|jpeg|gif|png|bmp)$/i", file_ext($file));}

 

在__construct()的foreach中使用了break，获取了第一个文件后就跳出循环。

在is_allow()中增加对$this->savename的二次检查。

最后 3 r* Y8 C+ \$ [7 g5 l

嘛，祝各位大师傅中秋快乐！ 9 ], @1 j9 C4 B

' F# l; g& J/ F ~) ~   % n, A" _3 q* J