Destoon cms前台getwebshell

admin

# R7 d |$ z( l6 I7 F 前言

0 y' b# w; w0 Y X% L 2018年9月21日，Destoon官方发布安全更新，修复了由用户“索马里的海贼”反馈的一个漏洞。 - C- p& @ j- |. V

  0 R+ Q+ B% P1 m0 B" g% Z- q+ y6 _

漏洞分析 : R u+ }) ~/ ?9 E$ Z( d4 q

, m/ ?; @; [- S ?! }. [$ C

0 N# z1 _" }: W! q5 n3 O+ _ 根据更新消息可知漏洞发生在头像上传处。Destoon中处理头像上传的是 module/member/avatar.inc.php 文件。在会员中心处上传头像时抓包，部分内容如下： & D- b! [3 @% y% Y, \- T4 h

$ r6 G( t) U/ N1 P4 m

  6 t, A" y& |: T- H: |

对应着avatar.inc.php代码如下：

" K, W4 g) r c Z

<?php defined('IN_DESTOON') or exit('Access Denied');login();require DT_ROOT.'/module/'.$module.'/common.inc.php';require DT_ROOT.'/include/post.func.php';$avatar = useravatar($_userid, 'large', 0, 2);switch($action) { ' Y7 C( `0 J' o% I- e

) B7 h6 U4 f# j5 L" X1 Z

    case 'upload':

6 i7 F' E' X# O# r

        if(!$_FILES['file']['size']) { * P4 O' Y# @+ v

- z2 u5 F3 A; c5 j             if($DT_PC) dheader('?action=html&reload='.$DT_TIME); " ?) `3 V1 r" p: o$ e

            exit('{"error":1,"message":"Error FILE"}');

, V Z) J5 }+ b# n

: B b) s! P0 T0 O" T/ Q; ?         } / a7 Y7 c* N1 i

# _! _6 \ _3 ~4 j         require DT_ROOT.'/include/upload.class.php';

, E1 o/ x3 h1 h8 M. e" q+ x

  ! K7 V0 U; l) k. ^, X' B

        $ext = file_ext($_FILES['file']['name']);

. q7 U" r/ R2 v2 P; m% l

+ s+ T) b+ D% y; k4 h         $name = 'avatar'.$_userid.'.'.$ext;

        $file = DT_ROOT.'/file/temp/'.$name;

h E3 z8 e+ L& n6 @9 V) `, Y

p! R8 [! J% e" I( _0 W$ z1 ~' N. j" \$ \   - @6 f6 e) u4 T7 x) V

# F9 v) B7 {, T) r3 n         if(is_file($file)) file_del($file);

& x5 O8 `: q5 F* u( d9 D2 x         $upload = new upload($_FILES, 'file/temp/', $name, 'jpg|jpeg|gif|png');

: Q, O7 U3 O9 l; c* r6 [  

- Q7 ]. N4 `1 Q$ Z# {2 P         $upload->adduserid = false; ' U) f9 I, G. }* l0 }, h( m+ e

, m$ ?) F. ?) j2 Z5 L E, v3 r: L# G

  ' M! Y( D ~& ~' V: h$ } U

        if($upload->save()) {

' l( c$ w( T7 i, r             ...

: c! d/ E" G, y3 p5 Z& j& J         } else {

; o1 z* y1 ?; K7 T* v; c |             ...

        }

4 O# @5 U/ n4 z( H

    break;

这里通过$_FILES['file']依次获取了上传文件扩展名$ext、保存临时文件名$name、保存临时文件完整路径$file变量。之后通过new upload();创立一个upload对象，等到$upload->save()时再将文件真正写入。 ) \% q# l6 ?: N- t' I

upload对象构造函数如下，include/upload.class.php:25：

( H' U$ Y5 s3 N/ V

. c& ? B; O7 |: F. r6 S: h9 Q <?phpclass upload {

    function __construct($_file, $savepath, $savename = '', $fileformat = '') {

        global $DT, $_userid; 8 g* C9 ?3 c7 l2 d& J/ G

, a. x5 s( u: L/ C+ D

        foreach($_file as $file) {

            $this->file = $file['tmp_name'];

            $this->file_name = $file['name']; ' w3 K- K, w+ {) m: k

1 r2 `0 }: e$ Z1 ~% k

            $this->file_size = $file['size'];

1 O7 n4 a2 S, X4 Q5 d$ @+ V. E! x             $this->file_type = $file['type']; ! v; ^& E' {- B, I, x

3 T( D# X0 v! w5 r6 e4 _: _8 t             $this->file_error = $file['error']; 8 s. I9 H$ }( p& @3 j% R6 L& n5 w) T1 j

+ m" n/ z5 v" j2 D: y  

4 i' W( g. u. k2 O" ]2 F         } 6 Q4 n5 W! h. q- Z7 K& c1 n

& q9 p8 H( u7 ], Z7 w3 P" W3 T {         $this->userid = $_userid;

9 ~/ D! K& N E: H

2 C' S8 k; x. f7 T5 V% x. f/ E         $this->ext = file_ext($this->file_name); : @6 C* _" p) X# ~# y" n( Q

* |2 R, z; F- l8 ]# @+ L! P

        $this->fileformat = $fileformat ? $fileformat : $DT['uploadtype'];

) @' M' ?# p: n5 z

5 |9 ]7 n( ~ k7 F% Q5 A2 P         $this->maxsize = $DT['uploadsize'] ? $DT['uploadsize']*1024 : 2048*1024;

/ _6 Z& M8 W2 T+ c0 o% \, n2 k, C         $this->savepath = $savepath;

" ?5 u) F. I$ y+ e' w1 n

, ^; z0 B* @5 q         $this->savename = $savename;

    }}

: k n# M# ]+ F8 H7 i2 a 这里通过foreach($_file as $file)来遍历初始化各项参数。而savepath、savename则是通过__construct($_file, $savepath, $savename = '', $fileformat = '')直接传入参数指定。 * E9 ?8 c0 J' ^7 N

' c5 H3 M( C& D+ ]8 J; J 因此考虑上传了两个文件，第一个文件名是1.php，第二个文件是1.jpg，只要构造合理的表单上传（参考：https://www.cnblogs.com/DeanChopper/p/4673577.html），则在avatar.inc.php中 , v1 j, ~- p4 o1 c5 p4 i0 _

$ext = file_ext($_FILES['file']['name']); // `$ext`即为`php` $name = 'avatar'.$_userid.'.'.$ext; // $name 为 'avatar'.$_userid.'.'php'$file = DT_ROOT.'/file/temp/'.$name; // $file 即为 xx/xx/xx/xx.php + a- |- i1 b: \

7 J& w9 [4 a: f; M7 d3 ^

而在upload类中，由于多个文件上传，$this->file、$this->file_name、$this->file_type将foreach在第二次循环中被置为jpg文件。测试如下：

+ {1 x8 F! n5 h& E; E' x" C$ ~+ c

 

* T! x* H% f5 L

回到avatar.inc.php，当进行文件保存时调用$upload->save()，include/upload.class.php:50: 1 C: E7 Y" O3 R$ X( t0 I* {

- ]7 r& J7 y" _3 v6 S" o9 U% j

<?phpclass upload {

7 J$ @+ k, `) a. d1 [

    function save() {

2 K' S2 W& W, A

        include load('include.lang');

# `, j7 I/ u) m1 i6 b7 _

        if($this->file_error) return $this->_('Error(21)'.$L['upload_failed'].' ('.$L['upload_error_'.$this->file_error].')');

, R1 x! g2 k5 ?

  & e4 ?' ], H! P. y* e+ }1 Y

) o/ M3 s- v5 L8 T* `9 H         if($this->maxsize > 0 && $this->file_size > $this->maxsize) return $this->_('Error(22)'.$L['upload_size_limit'].' ('.intval($this->maxsize/1024).'Kb)');

 

7 S4 c! M1 g+ h         if(!$this->is_allow()) return $this->_('Error(23)'.$L['upload_not_allow']);

: N1 L& ` M( H$ F* P

, k9 h) x9 t6 _& p8 a. j' Q5 d  

8 t, o* [+ |6 s         $this->set_savepath($this->savepath); , P8 c# p; v' D/ L

) n8 k3 i& D$ P6 r# B# G) W         $this->set_savename($this->savename);

: ?1 l' `8 K" j( k4 e   & l' v. J& U( g3 e+ J

; r O3 F" s& ]" g# d" @         if(!is_writable(DT_ROOT.'/'.$this->savepath)) return $this->_('Error(24)'.$L['upload_unwritable']);

% H! r& k, M0 W Q1 v7 e         if(!is_uploaded_file($this->file)) return $this->_('Error(25)'.$L['upload_failed']);

- S- W6 g; F$ v( G* T+ V

/ a/ N, c$ E. O' |( ]/ c, e         if(!move_uploaded_file($this->file, DT_ROOT.'/'.$this->saveto)) return $this->_('Error(26)'.$L['upload_failed']);

0 J' o0 p, k1 i# B   " e+ m. r7 o% g0 J, S. l2 f

        $this->image = $this->is_image(); 2 c4 o) ^1 X8 K0 L z

2 d+ Y7 s" q' N% t- ?! B T) T

        if(DT_CHMOD) @chmod(DT_ROOT.'/'.$this->saveto, DT_CHMOD); " N, Y \; D. j

. ]% l# b6 n! s. c

) p! x( C2 G" J8 u0 E; ?3 ?         return true; ; @" e3 {" [& h

& ~8 a' K# R {* r- ?2 `

j2 z$ D; S( ?# C7 `     }}

先经过几个基本参数的检查，然后调用$this->is_allow()来进行安全检查 include/upload.class.php:72： * ]& T8 D; V1 [. o

1 w9 c+ A8 n- ~ m1 b <?php

' {; U7 x& K8 t$ k     function is_allow() {

H3 w/ ~1 W0 a6 f2 C* L! a1 k

% J' O: l+ U. a6 z- u& {         if(!$this->fileformat) return false; + }5 _, m4 {: t# q! q

" Z W+ ?$ i3 `- N0 M         if(!preg_match("/^(".$this->fileformat.")$/i", $this->ext)) return false;

, K2 ^9 D h; g7 p

+ R0 U$ l$ [6 @4 r- |* R. i' a         if(preg_match("/^(php|phtml|php3|php4|jsp|exe|dll|cer|shtml|shtm|asp|asa|aspx|asax|ashx|cgi|fcgi|pl)$/i", $this->ext)) return false;

. P8 m/ m W. n+ C8 U+ _

- w! E( E4 L6 u# D         return true; ; J# r3 R( `1 w/ q

    } + ^" @' l$ Y) f. W

( z% [2 { W! P( [

1 ^ l" ]6 S& b& C% R" [ 可以看到这里仅仅对$this->ext进行了检查，如前此时$this->ext为jpg，检查通过。

接着会进行真正的保存。通过$this->set_savepath($this->savepath); $this->set_savename($this->savename);设置了$this->saveto，然后通过move_uploaded_file($this->file, DT_ROOT.'/'.$this->saveto)将file保存到$this->saveto ，注意此时的savepath、savename、saveto均以php为后缀，而$this->file实际指的是第二个jpg文件。 + {9 h" r( `! T9 s' _

( R2 X8 ?8 T8 J/ G9 [ 漏洞利用 ) A9 x2 C( t: m) Y' L

! I$ s6 |# R& w0 M5 x5 G

综上，上传两个文件，其中第一个文件以php为结尾如1.php，用于设置后缀名为php；第二个文件为1.jpg，jpg用于绕过检测，其内容为php一句话木马(图片马)。

& _6 D/ l. h3 u9 g8 T$ K) z

: E" f. V4 i* O   ' R5 Q8 \& s) {" X

) O3 l+ J! b7 C2 n! _7 u1 t4 Z1 c o

2 |4 X; q6 z4 J- E 然后访问http://127.0.0.1/file/temp/avatar1.php 即可。其中1是自己的_userid

$ l8 }# F: u3 }- e$ _" _0 b 不过实际利用上会有一定的限制。

第一点是destoon使用了伪静态规则，限制了file目录下php文件的执行。 7 Q# a6 d- M+ G9 ~1 S, s

4 Y- _3 R& j" M$ {( A8 T/ m) O  

9 W; k: I6 c3 l6 i0 E3 c7 ~ 第二点是avatar.inc.php中在$upload->save()后，会再次对文件进行检查，然后重命名为xx.jpg： c: Z, ]9 j% n

8 Z, c: o% w/ s5 x" \; |# }

% o% n# k' c; _2 I- n 省略...$img = array();$img[1] = $dir.'.jpg';$img[2] = $dir.'x48.jpg';$img[3] = $dir.'x20.jpg';$md5 = md5($_username);$dir = DT_ROOT.'/file/avatar/'.substr($md5, 0, 2).'/'.substr($md5, 2, 2).'/_'.$_username;$img[4] = $dir.'.jpg';$img[5] = $dir.'x48.jpg';$img[6] = $dir.'x20.jpg';file_copy($file, $img[1]);file_copy($file, $img[4]);省略...

因此要利用成功就需要条件竞争了。

) R. E% i+ E% i6 I) g 补丁分析 $ p; _& ]: t. A$ z+ _

9 i* b' ]: }# `3 o0 E1 U! e0 l

" H% V" ?; B% ~3 g# h; }: ^. a  

9 F. E* Z' N( x8 q& I" X

在upload的一开始，就进行一次后缀名的检查。其中is_image如下： 8 U# h" [, I0 ^& k1 ]* t; P; F4 d

! \1 C' p, o: T1 c

! H" G% E3 g! u. X1 J' \9 ]6 n, V function is_image($file) {    return preg_match("/^(jpg|jpeg|gif|png|bmp)$/i", file_ext($file));} - B* ~0 I5 G2 J6 m* \

X" @* o2 |) I4 y z

 

- ]/ M2 M/ q+ D

* B0 }9 B% V& x* x7 J- y1 S# ? 在__construct()的foreach中使用了break，获取了第一个文件后就跳出循环。

在is_allow()中增加对$this->savename的二次检查。 8 r' m1 W; r1 q- m; a, G# D

/ c# O" f2 n& ~" W% b5 D

最后 * l7 m6 _% {+ v1 D8 N

嘛，祝各位大师傅中秋快乐！ 0 Z" J, C9 z A8 w* q

0 i5 [: y. }6 c& ], d$ p