Destoon cms前台getwebshell

admin

前言 : ?, v% ]8 h. z4 r, x

2018年9月21日，Destoon官方发布安全更新，修复了由用户“索马里的海贼”反馈的一个漏洞。

3 [7 e0 V9 e7 t/ S; {) k   " Z0 E2 y# v5 G7 f

' K! b2 W% J" F

9 }4 X- R% v! o# R' k# } 漏洞分析

/ ? t* @$ c6 q0 m) Q

根据更新消息可知漏洞发生在头像上传处。Destoon中处理头像上传的是 module/member/avatar.inc.php 文件。在会员中心处上传头像时抓包，部分内容如下：

3 @# Z+ O, l2 t6 ~8 W# n& E

  $ M4 L. T- p% K( E5 _1 @6 u% `( n4 c% `

% r; q* K1 ~! l- b4 ^6 [, w

5 l/ e) R i4 K( _! O 对应着avatar.inc.php代码如下：

/ A* R% A K+ ]2 ? <?php defined('IN_DESTOON') or exit('Access Denied');login();require DT_ROOT.'/module/'.$module.'/common.inc.php';require DT_ROOT.'/include/post.func.php';$avatar = useravatar($_userid, 'large', 0, 2);switch($action) {

5 E. L1 o/ K6 _, w/ {2 c     case 'upload': 3 U$ g C+ P& f9 v6 ]$ m/ c2 H2 K

( j- W* l+ G3 d f& O% n- E: M4 `

} C4 M8 {9 |4 x8 b3 `4 @) p         if(!$_FILES['file']['size']) { ) l& T" h+ W' y& P! {* |4 m

3 F3 |& R+ v+ u! @

            if($DT_PC) dheader('?action=html&reload='.$DT_TIME);

$ S& k! p7 h( }& u' S6 x x

8 _0 n- U; s' E) j. b             exit('{"error":1,"message":"Error FILE"}');

3 C( w; f2 P& E/ g/ K" l         } & x l0 G# k3 M2 k0 }- j

        require DT_ROOT.'/include/upload.class.php'; $ U4 H) I+ p# f- L

 

! c* Q7 F9 Y( P, n2 ]9 V( V0 w         $ext = file_ext($_FILES['file']['name']); 5 j* E$ z" J: _1 b+ |" T

) H2 s6 _6 W0 q8 ?         $name = 'avatar'.$_userid.'.'.$ext; 8 `7 l4 i) s' p7 C5 _: f' k& j

, t+ q( n, F# a* r& \$ D9 @         $file = DT_ROOT.'/file/temp/'.$name; 5 B; R, ^( F" o% s

7 D' C6 O( j8 b1 ~1 u

4 _, I3 |3 S7 d, U9 ~" L" E- `   8 J" Q# K6 X' \$ ~; W

1 ~9 v4 a, K% ]& p: ^! V

        if(is_file($file)) file_del($file); * x5 B: Y7 a6 k) |0 B2 B

; q0 v8 n9 L2 N+ m* n1 K/ S         $upload = new upload($_FILES, 'file/temp/', $name, 'jpg|jpeg|gif|png'); $ ~& [3 J* G* E e7 V }

3 p" e i7 O6 J' S" o0 X* V   - g: G1 f* G. P, B

4 I" I! [4 O# V3 p! [& c         $upload->adduserid = false;

 

7 g+ `7 D5 `" l+ j* V4 O1 [; a& u( S         if($upload->save()) { : r8 q4 u/ b/ s8 h7 `0 C

% w4 ~: E+ v" H! D5 _4 e0 ^* @

: v1 w* M0 y1 D; g             ...

% |4 F3 V$ T: N# g. Z0 n. G1 G3 U$ f

4 P: s% G; h, G9 y8 }8 d( D! \         } else {

            ... . x, ~" T9 G, A( F, \# h

0 |+ d L0 G; U# q# q- [

0 h! y2 F+ @( \! I         }

4 `) b/ v) T7 C0 ]     break;

这里通过$_FILES['file']依次获取了上传文件扩展名$ext、保存临时文件名$name、保存临时文件完整路径$file变量。之后通过new upload();创立一个upload对象，等到$upload->save()时再将文件真正写入。

9 A+ F4 \5 V8 H# E upload对象构造函数如下，include/upload.class.php:25：

; t" f5 y0 G% K2 [; v' x* \

! h( N/ Y) g T6 ^0 | <?phpclass upload { # E/ d Q, d! ~" N Q: j

- A* |2 Q# B3 N6 I8 u

) _; C3 u; Y* A9 Q& ^: t     function __construct($_file, $savepath, $savename = '', $fileformat = '') {

        global $DT, $_userid; + |$ l7 |; w' f6 C) F

! k* }% S' `7 s' s' H         foreach($_file as $file) { * E" n. Y; F K5 c# V

: Y* {- ?/ c5 w2 S* ?( k2 [             $this->file = $file['tmp_name'];

, V2 n1 x6 M6 M0 [. _             $this->file_name = $file['name'];

            $this->file_size = $file['size']; ; S( W* E8 c6 m1 `7 k/ }2 l

( ?4 l2 F- D5 @& a& M. }             $this->file_type = $file['type']; ' ]. ]. O! ?" p) }9 G) ?# H

            $this->file_error = $file['error'];

) N Z9 y- u0 g! v

& i A, V2 R% Z- U1 z  

" w" h2 t. A! N- K& f& d! E( `

        }

8 [& J# F. |) e

2 i, f& O; r7 E         $this->userid = $_userid;

" S& k* ~4 d6 j5 N         $this->ext = file_ext($this->file_name);

, c6 j/ D2 [- q7 R

% ~. k/ p$ {' O         $this->fileformat = $fileformat ? $fileformat : $DT['uploadtype'];

        $this->maxsize = $DT['uploadsize'] ? $DT['uploadsize']*1024 : 2048*1024;

& ]$ Z. S4 {7 O2 @6 Y' y- ]

$ P8 L' g- d& I9 `1 G. y         $this->savepath = $savepath;

7 |2 {" p/ D: B! s4 I         $this->savename = $savename;

* R+ V: j/ g! N8 z( w

    }}

这里通过foreach($_file as $file)来遍历初始化各项参数。而savepath、savename则是通过__construct($_file, $savepath, $savename = '', $fileformat = '')直接传入参数指定。

6 Q; j3 _8 u5 D5 J. H 因此考虑上传了两个文件，第一个文件名是1.php，第二个文件是1.jpg，只要构造合理的表单上传（参考：https://www.cnblogs.com/DeanChopper/p/4673577.html），则在avatar.inc.php中

$ext = file_ext($_FILES['file']['name']); // `$ext`即为`php` $name = 'avatar'.$_userid.'.'.$ext; // $name 为 'avatar'.$_userid.'.'php'$file = DT_ROOT.'/file/temp/'.$name; // $file 即为 xx/xx/xx/xx.php

( s+ a, Y5 H+ i5 u1 f9 k

而在upload类中，由于多个文件上传，$this->file、$this->file_name、$this->file_type将foreach在第二次循环中被置为jpg文件。测试如下：

2 D4 f6 q# D- ]) o$ X0 L

  ! i5 m4 M' H/ ^. T- E" a0 ^2 E2 E% `7 g

回到avatar.inc.php，当进行文件保存时调用$upload->save()，include/upload.class.php:50:

) ?. g* h4 t8 d0 h3 J; x

<?phpclass upload {

    function save() { ! I7 d: Z0 s4 g1 {( ?

" a$ @1 \ ^% Q3 O7 ~% H: ~8 j

        include load('include.lang'); ! r* J7 n- R; y- I/ K% ]

1 L2 u8 P1 `2 e. C4 f         if($this->file_error) return $this->_('Error(21)'.$L['upload_failed'].' ('.$L['upload_error_'.$this->file_error].')');

# j5 D# g7 l/ h. |

' @0 p) `9 R4 f8 r* V1 x& n. r) g   6 C3 I8 S$ V) l- i1 q9 t8 F* H3 X1 u

8 _' |. l. ]. ]+ `; T: s

        if($this->maxsize > 0 && $this->file_size > $this->maxsize) return $this->_('Error(22)'.$L['upload_size_limit'].' ('.intval($this->maxsize/1024).'Kb)'); 9 D _ B6 V1 l1 x* a" G& U2 q

 

        if(!$this->is_allow()) return $this->_('Error(23)'.$L['upload_not_allow']);

2 P5 \" ~8 \: I7 _% N

' ]* k* z& Q2 n5 v9 K: Y  

3 G1 A2 W, ^) R; F( b

        $this->set_savepath($this->savepath); - d4 n+ h5 h. A4 n

+ Q. n9 ]3 Q5 }7 Y: I5 |

* j# d. {6 t5 R/ j         $this->set_savename($this->savename); $ H. y; d: x3 m! C3 q v

7 g; }% ?2 ?3 C7 N% K. ~7 M% b4 K

1 x" u7 ]' ?# {. g/ X4 I: Q& J  

' k Y# P6 X6 ^8 a. Q

4 ^; e# B S* v8 f         if(!is_writable(DT_ROOT.'/'.$this->savepath)) return $this->_('Error(24)'.$L['upload_unwritable']);

3 j0 T) [/ w8 I% P, q7 G( B- ^+ Y) l

        if(!is_uploaded_file($this->file)) return $this->_('Error(25)'.$L['upload_failed']);

+ h* Y6 n- G6 \* B1 F

        if(!move_uploaded_file($this->file, DT_ROOT.'/'.$this->saveto)) return $this->_('Error(26)'.$L['upload_failed']); : C: K/ I4 W$ a# q5 ~8 [7 i

3 d! o3 x4 e5 @+ S9 t! b* ]9 w; T  

# e- \* G3 c- g4 K1 S9 k         $this->image = $this->is_image(); 5 m5 d0 f" j. U5 }2 H

: w( V( v$ m+ \4 T8 V* j6 P

        if(DT_CHMOD) @chmod(DT_ROOT.'/'.$this->saveto, DT_CHMOD);

        return true;

* e* y6 j1 t: P5 }' `& s+ B     }} ) ~9 F% W8 k% G: P3 V h

2 L6 h0 x* `4 k5 G$ m& d

先经过几个基本参数的检查，然后调用$this->is_allow()来进行安全检查 include/upload.class.php:72：

1 J2 C6 H9 i l: R* ^- ` K4 p <?php

- ~! m- |& i8 |" X( h( E

8 N8 a9 r$ O, A3 d     function is_allow() {

# c% Z! }, K4 b6 l# W9 L, `& z

" i6 `9 s i' i1 B0 Z% |         if(!$this->fileformat) return false; ( \9 v5 y+ Q: W1 w, t

/ n! q6 n, A. w/ |: E( i4 X

        if(!preg_match("/^(".$this->fileformat.")$/i", $this->ext)) return false;

+ T8 t- B$ v+ c7 J1 u* Q; U         if(preg_match("/^(php|phtml|php3|php4|jsp|exe|dll|cer|shtml|shtm|asp|asa|aspx|asax|ashx|cgi|fcgi|pl)$/i", $this->ext)) return false; 4 p3 U e, _: B' ~

% W( ?: }) u% n8 `$ W( w; w9 |) C

        return true;

$ T _: ^; K) M6 n7 t9 Y h

- @! ~. @& O& P A     }

8 u) P, S! N, I1 n% H* z9 d

可以看到这里仅仅对$this->ext进行了检查，如前此时$this->ext为jpg，检查通过。 4 e$ A( t8 ?3 G! ]# X

接着会进行真正的保存。通过$this->set_savepath($this->savepath); $this->set_savename($this->savename);设置了$this->saveto，然后通过move_uploaded_file($this->file, DT_ROOT.'/'.$this->saveto)将file保存到$this->saveto ，注意此时的savepath、savename、saveto均以php为后缀，而$this->file实际指的是第二个jpg文件。 6 D- z4 a I# P

, F# J9 w+ r5 E* s2 x$ R

4 @( |. }& ~0 C2 w' S G7 U 漏洞利用

- x1 o m3 V* d4 v# Q& J

& C% O9 s6 }* b3 ?5 a% Q+ h$ j 综上，上传两个文件，其中第一个文件以php为结尾如1.php，用于设置后缀名为php；第二个文件为1.jpg，jpg用于绕过检测，其内容为php一句话木马(图片马)。 + H3 a0 c& B4 d* f% ]5 v

6 t* O9 _ |. q* u4 j$ H

5 ]7 c* z. q6 B( U) y  

2 u3 P: A8 P0 u/ g3 R/ D8 K

! R) e6 I! `5 h% @2 ~3 Q 然后访问http://127.0.0.1/file/temp/avatar1.php 即可。其中1是自己的_userid

! @ }6 I" T' t+ B/ d+ { 不过实际利用上会有一定的限制。

第一点是destoon使用了伪静态规则，限制了file目录下php文件的执行。

, }) q3 Q3 Z/ D0 N& w p   ) Y5 `6 w& u; u

第二点是avatar.inc.php中在$upload->save()后，会再次对文件进行检查，然后重命名为xx.jpg：

. i7 z. J1 t" {& ^! l 省略...$img = array();$img[1] = $dir.'.jpg';$img[2] = $dir.'x48.jpg';$img[3] = $dir.'x20.jpg';$md5 = md5($_username);$dir = DT_ROOT.'/file/avatar/'.substr($md5, 0, 2).'/'.substr($md5, 2, 2).'/_'.$_username;$img[4] = $dir.'.jpg';$img[5] = $dir.'x48.jpg';$img[6] = $dir.'x20.jpg';file_copy($file, $img[1]);file_copy($file, $img[4]);省略... 0 x& W0 X; y( @( g. K

因此要利用成功就需要条件竞争了。 5 f# n; V, x6 g& \5 J

补丁分析 ; e2 a+ H9 {) p1 l/ V( `

6 T# h( M# _; P1 Y' a4 S8 Y# t

 

/ q. l! D1 P; L

3 x0 w8 u" y. B* C! r8 Q" h 在upload的一开始，就进行一次后缀名的检查。其中is_image如下：

2 I. b1 e: t6 g9 l

function is_image($file) {    return preg_match("/^(jpg|jpeg|gif|png|bmp)$/i", file_ext($file));}

% T! i4 m, F' P# s, }1 e  

" e$ ?, V ]. Z) W+ v3 C- @ 在__construct()的foreach中使用了break，获取了第一个文件后就跳出循环。 + O9 i3 m( R) r8 S& M

在is_allow()中增加对$this->savename的二次检查。

J, ]# J! k6 T; l$ q 最后 - T: v0 ?$ \# O( V* X2 M5 d

嘛，祝各位大师傅中秋快乐！ 4 m' e- e3 ?( i

* M3 i* M# o, f1 H$ r! v

! I' i0 K! Q! X