Destoon cms前台getwebshell

admin

" C L4 S6 v0 K1 m9 t; i1 ~ f- R

% I8 Y" O' \4 X$ M' J5 e 前言 ?; j% E8 ^% u+ Q! @

2018年9月21日，Destoon官方发布安全更新，修复了由用户“索马里的海贼”反馈的一个漏洞。

" @' ]) W7 {! X ^' K! }

  / }+ h8 a! o- M

" V* h6 z) o M" G4 O0 p6 c

漏洞分析 . E$ Y4 d6 w( i5 x: L* `# U3 X

根据更新消息可知漏洞发生在头像上传处。Destoon中处理头像上传的是 module/member/avatar.inc.php 文件。在会员中心处上传头像时抓包，部分内容如下： 2 {# a; L9 {* E% T0 l) r

' D+ C: w' y4 [. j

7 D$ Q1 g4 o, \ _  

: z3 U x& V! ]5 ]: R# W 对应着avatar.inc.php代码如下：

1 n6 I+ R C9 O' Q; C' ~) }

<?php defined('IN_DESTOON') or exit('Access Denied');login();require DT_ROOT.'/module/'.$module.'/common.inc.php';require DT_ROOT.'/include/post.func.php';$avatar = useravatar($_userid, 'large', 0, 2);switch($action) {

; a$ l4 z" L" z: J8 D" d

    case 'upload': - w) u5 V' W/ A2 ?5 s( p, X+ F

6 g! j- S( P0 [/ \         if(!$_FILES['file']['size']) { * L: b: T$ l7 b* j5 ~8 c( _

b/ `: [" v3 R- ^5 a) q

            if($DT_PC) dheader('?action=html&reload='.$DT_TIME);

            exit('{"error":1,"message":"Error FILE"}');

" h/ A8 T+ V9 B7 `! X         }

        require DT_ROOT.'/include/upload.class.php';

" E: Y# ?% ^- B. g

 

, q2 T' B3 l# g, t# t1 }         $ext = file_ext($_FILES['file']['name']);

2 T6 j# w7 A5 g8 {1 ?! [5 f

) c* D2 g( m! J9 z7 D8 [         $name = 'avatar'.$_userid.'.'.$ext; , Q" {2 s$ w* N0 j

1 m: o$ v8 B. u0 O! V2 z* m. X         $file = DT_ROOT.'/file/temp/'.$name; 9 o* @- u) U# q9 w- D7 `

0 y" e& Y% D* t, S1 X: |5 e6 M

  5 o# U7 t* T7 N) ~' E: }7 s2 r3 @& Q

0 s$ f m8 ~3 F+ v% E- @

6 e* m$ G1 d! K2 Q         if(is_file($file)) file_del($file); 3 Y% {/ }" Z2 R4 d

8 A4 [# h- Q% O         $upload = new upload($_FILES, 'file/temp/', $name, 'jpg|jpeg|gif|png'); # e% t& x* F- K+ X$ @' w. n# U

1 X6 R3 D$ ~4 Q s- N& X- |

  % a/ {9 a) z5 H1 \: c' Z

        $upload->adduserid = false;

 

7 y0 L* k7 t/ ` U7 j j( Z

        if($upload->save()) { 9 F9 g' @. W- Y/ E

            ...

# n# G2 w% R0 C1 e& s. l

# x' d& r( d' H! H) B         } else {

" ?3 g9 Y# f$ s, M             ... ( a0 O8 w9 C" Q0 ^& @6 n

        }

' t. F' H |4 e% T2 {6 j ]

; r3 L3 ?- Y. x s     break;

# L2 f6 L8 b- E; m0 X7 `7 C# K2 G 这里通过$_FILES['file']依次获取了上传文件扩展名$ext、保存临时文件名$name、保存临时文件完整路径$file变量。之后通过new upload();创立一个upload对象，等到$upload->save()时再将文件真正写入。 / p& }: C- u4 D/ T

7 _% T$ v5 o& f% j4 ~9 |6 @+ W3 H upload对象构造函数如下，include/upload.class.php:25：

8 L$ }# k7 c4 V" f* }# X% B

5 m3 t* |8 x* Z# T9 |" A* j <?phpclass upload { 7 l5 F# k& @: |, b' @* `" r" d

0 m6 B/ Q. e( g& d

    function __construct($_file, $savepath, $savename = '', $fileformat = '') { $ {6 l. [! ~) p; ^% z

1 c1 P) r- @+ B) ^7 P, O9 w

* n1 ?5 l( l9 T" k8 N6 N7 H9 h         global $DT, $_userid;

5 T4 s5 O6 s; _* ~         foreach($_file as $file) {

9 v+ Q: Y \0 j% h+ u; }* n5 P$ l @9 R

            $this->file = $file['tmp_name'];

% F& _" ?9 `7 s U# O8 ^             $this->file_name = $file['name'];

( }# K; e# p; T" ?7 u8 t! t. S             $this->file_size = $file['size']; % Y" Y9 t; K- }; ?3 l

J$ t6 R; N+ M E( k2 |( j* S7 `4 ?- Z

8 l3 N: j. O( T$ r/ }/ K3 e3 g/ ?             $this->file_type = $file['type'];

/ ]( a) ], ~1 T- l% G

- T3 B# O, j) i3 }( O7 x             $this->file_error = $file['error'];

4 ?) k3 f9 y1 C( Q

  1 y' M5 [% R5 z" F& C7 a

, d/ H; D$ i4 c+ F

3 a) F" v6 z `) f7 ?. |- T0 T         }

, S) ?0 d4 a6 y/ r         $this->userid = $_userid; W8 y/ v9 |* q3 U, w. t

, M9 H7 x! m. s2 b         $this->ext = file_ext($this->file_name);

9 z! M' q( A; l1 O' @

% V7 R$ O3 `4 K7 V7 T& O3 y( t* i         $this->fileformat = $fileformat ? $fileformat : $DT['uploadtype'];

1 N# F, K, |1 Z5 w: g! K

        $this->maxsize = $DT['uploadsize'] ? $DT['uploadsize']*1024 : 2048*1024; 8 \1 s, o/ ^7 `! O

        $this->savepath = $savepath;

, g! {1 f# I; z5 D3 L( }7 j5 G

5 l) F" Q; q. f. C+ Z4 O         $this->savename = $savename; 3 t* L$ o3 E) x' ~/ R4 F1 i

+ T1 I) g' b/ ?1 ^4 W& P     }} % o) r ~7 K* Y9 x

这里通过foreach($_file as $file)来遍历初始化各项参数。而savepath、savename则是通过__construct($_file, $savepath, $savename = '', $fileformat = '')直接传入参数指定。 , z% m5 o! e) ~# T& Y

因此考虑上传了两个文件，第一个文件名是1.php，第二个文件是1.jpg，只要构造合理的表单上传（参考：https://www.cnblogs.com/DeanChopper/p/4673577.html），则在avatar.inc.php中 . }0 _5 N) ~6 s$ I0 H$ Y

! I5 A+ C" M% Y4 ~9 H. ~! b. b0 [

$ext = file_ext($_FILES['file']['name']); // `$ext`即为`php` $name = 'avatar'.$_userid.'.'.$ext; // $name 为 'avatar'.$_userid.'.'php'$file = DT_ROOT.'/file/temp/'.$name; // $file 即为 xx/xx/xx/xx.php

而在upload类中，由于多个文件上传，$this->file、$this->file_name、$this->file_type将foreach在第二次循环中被置为jpg文件。测试如下： ; D- {* \# \( A" i4 u

 

+ M( v5 Z% P# B, m* T. l

回到avatar.inc.php，当进行文件保存时调用$upload->save()，include/upload.class.php:50: 2 d3 b( U4 C8 Y+ P0 ? S1 z0 Z

<?phpclass upload {

+ }1 a/ m) W* _, F

4 ^7 o/ Q7 S1 m6 ?$ I6 H1 L c8 S     function save() { 9 A% n. F2 C4 c1 J* K5 c' x. `

! j2 g& ~$ n9 Y O, ~+ p

6 R. F+ u L( E6 ~. P- P: B         include load('include.lang');

1 S. I" B |7 H4 i         if($this->file_error) return $this->_('Error(21)'.$L['upload_failed'].' ('.$L['upload_error_'.$this->file_error].')'); ( o P" e. W1 D; S2 I5 \: }: M' L( ?

8 r1 _0 M( i# C   5 I0 ^7 B. O, M8 u! m6 b

        if($this->maxsize > 0 && $this->file_size > $this->maxsize) return $this->_('Error(22)'.$L['upload_size_limit'].' ('.intval($this->maxsize/1024).'Kb)');

5 C; i Y- K2 J; f3 f4 }   4 m4 v: r# {( I: v, }

        if(!$this->is_allow()) return $this->_('Error(23)'.$L['upload_not_allow']);

7 H m" M) ]; d0 ^ q

8 D: y, C& [7 A/ ]* b   8 E8 U5 E, c' T8 u& g

        $this->set_savepath($this->savepath);

% W! U$ M7 C: F$ U# d9 v

        $this->set_savename($this->savename); 7 R" s6 s" ]& i M/ s

( a; U3 C7 }7 G; |# L) h8 W% a& X

% z5 E8 B, @6 k0 e) I  

1 @+ o& ]5 \' C

. A: o. E' i6 v! f! g* H0 y+ @1 j         if(!is_writable(DT_ROOT.'/'.$this->savepath)) return $this->_('Error(24)'.$L['upload_unwritable']);

( |' e! f# c6 M( V

        if(!is_uploaded_file($this->file)) return $this->_('Error(25)'.$L['upload_failed']); $ g$ ?) v, |% a) g

# J! Y% b# h6 j; J1 P         if(!move_uploaded_file($this->file, DT_ROOT.'/'.$this->saveto)) return $this->_('Error(26)'.$L['upload_failed']); % M$ U, g) Q( W! @" `% u( t

8 t% e- Y& K" X: K! W5 t) I  

9 H% U3 r6 R# J9 Y* b         $this->image = $this->is_image();

        if(DT_CHMOD) @chmod(DT_ROOT.'/'.$this->saveto, DT_CHMOD);

h x# J* D3 o) q# ~) ^9 @5 J

        return true; . F% g# D7 N6 k) c! q% j3 K4 p

4 d3 m' v2 q, l+ N

$ y8 `8 v/ k& E; @5 {2 K( a1 B     }}

$ @6 |# n, z" b 先经过几个基本参数的检查，然后调用$this->is_allow()来进行安全检查 include/upload.class.php:72： $ y0 \, @0 ?* G3 w+ ], [

<?php

    function is_allow() {

5 x! C* O/ \; p+ m7 w4 u

1 r A! {' v5 f9 `" C         if(!$this->fileformat) return false; ! o! S: ^! H! ^& \- y4 L3 {

        if(!preg_match("/^(".$this->fileformat.")$/i", $this->ext)) return false; 6 T6 B+ y7 V4 n8 c8 Y" r/ B' U

' n$ e) Z: u9 y1 t7 L         if(preg_match("/^(php|phtml|php3|php4|jsp|exe|dll|cer|shtml|shtm|asp|asa|aspx|asax|ashx|cgi|fcgi|pl)$/i", $this->ext)) return false; ' D/ l& @: D* s' z

( `# g( C/ x, V% G         return true; $ T+ z& ~4 _1 D! H: P) l

) k2 y- g9 l4 n

    } : t+ S& I0 G% ^2 C( k" \4 ^

可以看到这里仅仅对$this->ext进行了检查，如前此时$this->ext为jpg，检查通过。

$ ^7 a, W. |8 M) W! ` 接着会进行真正的保存。通过$this->set_savepath($this->savepath); $this->set_savename($this->savename);设置了$this->saveto，然后通过move_uploaded_file($this->file, DT_ROOT.'/'.$this->saveto)将file保存到$this->saveto ，注意此时的savepath、savename、saveto均以php为后缀，而$this->file实际指的是第二个jpg文件。 + {, F5 u& y, J6 J% Y& C/ A9 S; E

漏洞利用

9 d' b$ N8 D: Z& h1 c' s/ W 综上，上传两个文件，其中第一个文件以php为结尾如1.php，用于设置后缀名为php；第二个文件为1.jpg，jpg用于绕过检测，其内容为php一句话木马(图片马)。 ! s4 J! @9 b7 k

. k1 @% `, {' |! z

  9 I% T y5 a% E6 \$ I8 W4 {

# Q* y9 K- }8 r) g u1 c& v

# L4 e1 q- T, T1 o3 ? 然后访问http://127.0.0.1/file/temp/avatar1.php 即可。其中1是自己的_userid

+ t' T& A4 v1 I2 A1 R5 c

a% Y3 u1 d7 d- V- e$ Z% X 不过实际利用上会有一定的限制。

3 M' C: s" R% d" L" W

第一点是destoon使用了伪静态规则，限制了file目录下php文件的执行。 / B5 v7 t+ {& }7 i

2 j! t, J" A$ c+ j   3 z2 S$ g* e' E- }& }/ H

第二点是avatar.inc.php中在$upload->save()后，会再次对文件进行检查，然后重命名为xx.jpg： 4 M; ^9 M7 Y! D9 E8 A( L' M0 m

4 S/ d* B9 B' n! G. T$ @/ r: u( \ 省略...$img = array();$img[1] = $dir.'.jpg';$img[2] = $dir.'x48.jpg';$img[3] = $dir.'x20.jpg';$md5 = md5($_username);$dir = DT_ROOT.'/file/avatar/'.substr($md5, 0, 2).'/'.substr($md5, 2, 2).'/_'.$_username;$img[4] = $dir.'.jpg';$img[5] = $dir.'x48.jpg';$img[6] = $dir.'x20.jpg';file_copy($file, $img[1]);file_copy($file, $img[4]);省略... 0 d4 k" F3 ?6 h4 c5 N, `# v t5 `# D

7 i, N) o0 E R# a! d8 @

3 c2 w" n9 J, r* Z3 P) z; h 因此要利用成功就需要条件竞争了。 * y' D! d: H; n1 r4 m

补丁分析 1 |# { R# E- u

2 V! E, r, [" m5 i1 d/ ~/ T; u* G* g

# S/ w: M6 T% j) v4 q# h  

8 y( q8 D- W T) L4 u8 U) _ 在upload的一开始，就进行一次后缀名的检查。其中is_image如下： 9 G n: Q* l* y* [9 _

; E) L0 S- n& N& C' ?( t; t+ E function is_image($file) {    return preg_match("/^(jpg|jpeg|gif|png|bmp)$/i", file_ext($file));} 7 x r+ Y; D- N, J Q+ d: }; a

# a: u! d4 G: g& Q

 

7 P# Q7 I; W! Z, z 在__construct()的foreach中使用了break，获取了第一个文件后就跳出循环。 % Q5 D8 K7 C2 [- f# |' k+ h% G

4 [ g/ q Y% m+ |& Z3 t/ ? 在is_allow()中增加对$this->savename的二次检查。

6 d x1 t! u' F* @; m( f- R 最后

嘛，祝各位大师傅中秋快乐！ 4 B+ M9 w, Z& [ z! y2 ^