Destoon cms前台getwebshell

admin

: ?# d) U/ v0 Z8 m% e" _9 G

* Z. V2 k# Q2 o1 ~& F# ^

前言 ; @2 o* i& x" G* h

8 Q s# [& J6 _) g

2018年9月21日，Destoon官方发布安全更新，修复了由用户“索马里的海贼”反馈的一个漏洞。

 

漏洞分析

. H) k3 U$ l7 h# l1 N

根据更新消息可知漏洞发生在头像上传处。Destoon中处理头像上传的是 module/member/avatar.inc.php 文件。在会员中心处上传头像时抓包，部分内容如下：

 

对应着avatar.inc.php代码如下： 0 E% N- g0 z6 K) P$ D6 H

5 e, _# ], o+ I5 I1 u5 G U% I, } <?php defined('IN_DESTOON') or exit('Access Denied');login();require DT_ROOT.'/module/'.$module.'/common.inc.php';require DT_ROOT.'/include/post.func.php';$avatar = useravatar($_userid, 'large', 0, 2);switch($action) { ! O8 `( n6 e- m% i5 I E1 f

. r- M6 N. P, @: c. E& l

    case 'upload': 0 i+ r* H* ]) G" Z4 D1 ~6 o8 Q

! n/ U+ N" H B

        if(!$_FILES['file']['size']) {

8 Y7 r9 ~ T7 Z/ m) x0 e% f

$ T; q3 O: L+ R, D2 a: j" p4 `             if($DT_PC) dheader('?action=html&reload='.$DT_TIME); & r7 g# S% H5 h/ y" x; m/ k

) }' B! h4 c% F, m1 x

: G+ ~$ l- t! h- \             exit('{"error":1,"message":"Error FILE"}'); 9 u- S" U0 D4 I) y9 ~. r7 `

! c- E; x. Y( T         } ) L- M, n; C# w5 C7 O' M

5 j5 U' Q L- }1 X1 R         require DT_ROOT.'/include/upload.class.php'; $ W3 G9 \4 W6 o9 F/ O8 C- H

- p1 Z0 j8 I" I5 G/ g ~; {, N

- @$ t+ N3 N' Y: |9 U   " Y& k* Q; Y% y5 e' n' E4 b$ Q

        $ext = file_ext($_FILES['file']['name']); ) ^& k+ L% E* \" X

J: M' v4 f# L         $name = 'avatar'.$_userid.'.'.$ext;

+ Q4 F; _! U: B3 M

+ O5 L) ^& q/ _3 \8 I$ u; ?( L4 \         $file = DT_ROOT.'/file/temp/'.$name; : x& b- H; J7 Y, Y! M" l: p

( j- z3 Y5 y( W t( V0 I) P8 j- p   0 S# q" t# l) A6 |. k* F8 |

+ m/ c' O% A( T! v: j$ u         if(is_file($file)) file_del($file);

! E# f( i: w/ @0 h6 i9 t. Z: U5 b

. V9 q5 d0 l+ Y Y4 N! B         $upload = new upload($_FILES, 'file/temp/', $name, 'jpg|jpeg|gif|png'); " u, n3 d4 t) A7 t, U

; E9 w; j4 L3 c. k9 L8 u: d+ e   ' `9 K1 {9 u: U) B

* q9 A$ ?& R, a* z

' e4 O4 H# m8 }4 l         $upload->adduserid = false; % `7 E( r$ R+ K8 J

# p. P$ h& u% k" D

  6 P. y: O* i) e

0 E8 `# H8 @8 {

        if($upload->save()) {

            ...

4 ?7 F4 f& w* a: S7 _8 G# ~+ D6 B) T         } else { / w: e! M+ Z, g( p

% M5 [1 a& W* c- k6 ~

            ...

h1 ^. W! Z: T; @         }

5 G. O* @" ~; P* m+ d     break; $ l0 V! V: j9 f. ^

& R$ Q, i2 m" q) n0 v0 E 这里通过$_FILES['file']依次获取了上传文件扩展名$ext、保存临时文件名$name、保存临时文件完整路径$file变量。之后通过new upload();创立一个upload对象，等到$upload->save()时再将文件真正写入。

a: V: u; P2 M. a# q* ?8 U

e, K( ~% `9 I3 P* _: Q/ v upload对象构造函数如下，include/upload.class.php:25：

9 C, @" R2 ?1 `- q9 Q9 x& { <?phpclass upload { 9 [7 r M. _* G) ^+ L/ ^) F( [

: S- h7 ^. m; ^2 Q$ n% p# K1 N

7 V x# |1 R% o: R- Z: o, }     function __construct($_file, $savepath, $savename = '', $fileformat = '') {

        global $DT, $_userid; 6 n6 S$ g* s- y, r, N+ O4 Y

4 w0 |9 R7 h( C, ^ k5 d- ?% X

        foreach($_file as $file) { 2 o" a9 Q r: S j7 d

1 I, e: o3 f# h             $this->file = $file['tmp_name'];

5 H6 i3 m1 V5 y# ~             $this->file_name = $file['name']; - _' R' Y7 K( H V

( u1 s; M/ N3 Y             $this->file_size = $file['size'];

U+ z5 e7 r+ j             $this->file_type = $file['type']; 0 Z. O z/ j! \0 F3 T Q# r$ Q

            $this->file_error = $file['error'];

 

7 L; s% E8 T& G         } # W! Y7 t9 m! b3 w% c A. U

/ w. c. B8 R- W. ~) H/ n# H         $this->userid = $_userid;

1 J( K' k6 T" p4 [9 v0 T         $this->ext = file_ext($this->file_name); . [+ e* i. P7 T" r

        $this->fileformat = $fileformat ? $fileformat : $DT['uploadtype'];

; B0 D# P% r7 B/ E) q: D5 [

/ ?$ t$ W7 S# ]- s         $this->maxsize = $DT['uploadsize'] ? $DT['uploadsize']*1024 : 2048*1024; & E! M5 b* w9 L) i* c

6 q' E0 {& F) d- g& O d2 Q# ]7 L         $this->savepath = $savepath;

        $this->savename = $savename;

6 r1 a& l& |; J6 {2 j7 J( {

    }}

这里通过foreach($_file as $file)来遍历初始化各项参数。而savepath、savename则是通过__construct($_file, $savepath, $savename = '', $fileformat = '')直接传入参数指定。

; a* F* G: f# Q! C8 F

- g; l/ B1 @# b h 因此考虑上传了两个文件，第一个文件名是1.php，第二个文件是1.jpg，只要构造合理的表单上传（参考：https://www.cnblogs.com/DeanChopper/p/4673577.html），则在avatar.inc.php中

$ext = file_ext($_FILES['file']['name']); // `$ext`即为`php` $name = 'avatar'.$_userid.'.'.$ext; // $name 为 'avatar'.$_userid.'.'php'$file = DT_ROOT.'/file/temp/'.$name; // $file 即为 xx/xx/xx/xx.php " @7 _7 y% _7 f, x" e* o

0 z) J$ ?1 @- S# t, N! C( }4 N

; S4 x) X6 S. k' V( |! ^0 C 而在upload类中，由于多个文件上传，$this->file、$this->file_name、$this->file_type将foreach在第二次循环中被置为jpg文件。测试如下： ) |% \+ v( ~! v) a6 r) X, Q; |

 

9 h) ]( N; Z# w+ I# v$ Q7 _* f

4 i: S' r, O. K0 y Y 回到avatar.inc.php，当进行文件保存时调用$upload->save()，include/upload.class.php:50:

<?phpclass upload {

    function save() {

, m' O/ ] v) `) a

        include load('include.lang');

0 h# ^) O2 k; {" O/ U

- j9 X( T* s3 A; e9 V4 s         if($this->file_error) return $this->_('Error(21)'.$L['upload_failed'].' ('.$L['upload_error_'.$this->file_error].')'); & Z/ V# V* `9 q9 g

 

        if($this->maxsize > 0 && $this->file_size > $this->maxsize) return $this->_('Error(22)'.$L['upload_size_limit'].' ('.intval($this->maxsize/1024).'Kb)');

0 f1 T7 }* [6 o+ b  

# X6 q3 s! p$ m) V         if(!$this->is_allow()) return $this->_('Error(23)'.$L['upload_not_allow']); " o& v/ n/ F, b D

  7 ] i8 w" p& q( a5 |, ~' a# A# E

        $this->set_savepath($this->savepath);

' W- g! h/ Q$ g) C& G

        $this->set_savename($this->savename);

) x$ |5 s9 A/ o6 K5 M4 o" t

  4 z+ d M& E Y8 {% P' `5 X0 u

" q" t- I* G% t- A' M1 G

w; ^9 e$ h4 P$ r+ h T0 R( ?5 e         if(!is_writable(DT_ROOT.'/'.$this->savepath)) return $this->_('Error(24)'.$L['upload_unwritable']);

2 C7 S% ]8 _/ {$ o' I0 Q/ f" X         if(!is_uploaded_file($this->file)) return $this->_('Error(25)'.$L['upload_failed']);

* C. k7 {& O; C

8 a8 y# k' g) F: s         if(!move_uploaded_file($this->file, DT_ROOT.'/'.$this->saveto)) return $this->_('Error(26)'.$L['upload_failed']);

 

- ?3 k x7 B* o1 c9 `3 z9 \3 z

        $this->image = $this->is_image();

        if(DT_CHMOD) @chmod(DT_ROOT.'/'.$this->saveto, DT_CHMOD);

, o" y f- {. n7 o3 z1 U' P

9 w/ v5 Z$ _: _- s         return true;

) B T$ \: [2 Y1 c# {# s

' I" t9 k' a$ v     }}

3 `+ U$ f4 W( t; O( U5 z/ _" Y

先经过几个基本参数的检查，然后调用$this->is_allow()来进行安全检查 include/upload.class.php:72： l9 Z6 e7 ]0 e

<?php ( t, p: U5 u/ W# k Y! A

# ^( _( G$ H1 v3 E9 X* @* k, v

& ]8 a$ S/ O0 o& ?& I1 u     function is_allow() {

9 x/ |. E8 A8 {( v# S

        if(!$this->fileformat) return false; 6 L, e# i: t& a! h/ k/ R$ F, \

5 E# a x( p3 m! g! y) O/ M/ Y1 N

        if(!preg_match("/^(".$this->fileformat.")$/i", $this->ext)) return false; ' ]2 m3 D# j) f6 e& a: A

& Z( m! p) A' s" J* k; `2 b

: W7 q3 X* d0 S' ]. o. r         if(preg_match("/^(php|phtml|php3|php4|jsp|exe|dll|cer|shtml|shtm|asp|asa|aspx|asax|ashx|cgi|fcgi|pl)$/i", $this->ext)) return false; 4 a+ q" Z4 S: S; E: f0 j5 X2 _

        return true;

}+ E% |4 \* H3 H. r# D8 x2 {' t" b7 C

6 t* B- x4 R* q; V     }

可以看到这里仅仅对$this->ext进行了检查，如前此时$this->ext为jpg，检查通过。 ' K+ D& u# M2 i# C. W4 H4 f

" T1 L( H8 u$ B7 ^* V

7 c9 Q4 a8 v+ e 接着会进行真正的保存。通过$this->set_savepath($this->savepath); $this->set_savename($this->savename);设置了$this->saveto，然后通过move_uploaded_file($this->file, DT_ROOT.'/'.$this->saveto)将file保存到$this->saveto ，注意此时的savepath、savename、saveto均以php为后缀，而$this->file实际指的是第二个jpg文件。

& K% m$ n" I: ~5 P3 ^ 漏洞利用 # Y& P8 K4 k9 r7 g9 k( P8 ?% w4 Q

6 x m$ F) x6 [/ e* z, U$ d9 ]5 n' g

综上，上传两个文件，其中第一个文件以php为结尾如1.php，用于设置后缀名为php；第二个文件为1.jpg，jpg用于绕过检测，其内容为php一句话木马(图片马)。

1 |1 I. @, V! i; t# x6 g

  & p; s* ~/ f& @) n. }) n. e

- C; o% p& P0 d& T 然后访问http://127.0.0.1/file/temp/avatar1.php 即可。其中1是自己的_userid

2 T6 i) D) G. y% J- p- b- F* Z

不过实际利用上会有一定的限制。

第一点是destoon使用了伪静态规则，限制了file目录下php文件的执行。 $ s7 r0 B4 I5 {" n0 M; T" M8 W, y

# G$ q3 t1 E' F6 ~/ I: T( ~8 F, ^

! o% J+ k. U: R9 o  

! R! M. ?% z! G, `# B3 i0 a 第二点是avatar.inc.php中在$upload->save()后，会再次对文件进行检查，然后重命名为xx.jpg：

省略...$img = array();$img[1] = $dir.'.jpg';$img[2] = $dir.'x48.jpg';$img[3] = $dir.'x20.jpg';$md5 = md5($_username);$dir = DT_ROOT.'/file/avatar/'.substr($md5, 0, 2).'/'.substr($md5, 2, 2).'/_'.$_username;$img[4] = $dir.'.jpg';$img[5] = $dir.'x48.jpg';$img[6] = $dir.'x20.jpg';file_copy($file, $img[1]);file_copy($file, $img[4]);省略... % H5 \- J3 S$ D6 s1 b

因此要利用成功就需要条件竞争了。

5 s% w: |3 ~# C: |8 C 补丁分析 9 f# `* z) {* o# i0 z1 @

1 \' ~( w4 I$ B1 q

/ o4 z) x7 ?; W. y. s" z0 u& m   6 d% o* ]+ J* [8 _# {7 {- z3 X

在upload的一开始，就进行一次后缀名的检查。其中is_image如下： , |1 }/ s2 ~' X6 _4 ~ e3 [0 A

3 J M- U+ W, b3 G6 e; d0 r; b1 B function is_image($file) {    return preg_match("/^(jpg|jpeg|gif|png|bmp)$/i", file_ext($file));}

  2 l7 f5 i) B2 k6 P) o7 {! z

在__construct()的foreach中使用了break，获取了第一个文件后就跳出循环。

在is_allow()中增加对$this->savename的二次检查。

) T) F! c2 ?) s) u$ \' N p 最后 , Q2 `& ?* q$ z( ^' V; ?1 D$ q4 c$ `

嘛，祝各位大师傅中秋快乐！ 9 ?. b3 k5 \7 r% e, s E, K

& C; i' I. b- x

 

# A* ^2 U1 [+ V0 W% I. X0 Q/ ?