Destoon cms前台getwebshell

admin

" @( _% P% J! F, {, r: @7 a

! n# S K" q2 V

- q* S+ Y7 M" w6 N1 y# V$ U8 D9 o- i' } 前言 ; q* q2 I& p) { v. N

6 R6 o, A# z' q' p$ [/ ]+ o

/ a/ N, ~3 g1 Y0 X0 H- k* k6 q 2018年9月21日，Destoon官方发布安全更新，修复了由用户“索马里的海贼”反馈的一个漏洞。

' H0 y1 n y. j" f. [& G

6 X+ s% f6 S9 y$ I' @6 B3 p   7 O9 u0 _* n1 E# N1 Y5 s, w

- c) C1 t$ p% Q3 ~+ _

. L* p5 `1 p3 A5 A# } 漏洞分析

根据更新消息可知漏洞发生在头像上传处。Destoon中处理头像上传的是 module/member/avatar.inc.php 文件。在会员中心处上传头像时抓包，部分内容如下：

  9 O, R5 s( z# W4 ]# y1 f

& J- H1 m" u0 H$ O$ ~

对应着avatar.inc.php代码如下：

5 W' [4 l1 q( s4 f( V <?php defined('IN_DESTOON') or exit('Access Denied');login();require DT_ROOT.'/module/'.$module.'/common.inc.php';require DT_ROOT.'/include/post.func.php';$avatar = useravatar($_userid, 'large', 0, 2);switch($action) { 5 \# |) T( e& g8 Z# _+ t

# t4 A, v* o* t+ V9 q

    case 'upload': $ w8 T- a/ ^( l/ K5 S5 h

        if(!$_FILES['file']['size']) {

* S& M; _/ X2 s# }

            if($DT_PC) dheader('?action=html&reload='.$DT_TIME); 5 ^! }0 ]# E+ X- X/ F6 p

            exit('{"error":1,"message":"Error FILE"}');

3 ?' r- i+ v7 m$ I         } ' z4 L! a) k F' h

4 o0 e2 M' { W8 z; d0 V

2 s/ I0 v3 }% S1 ?0 U# f1 |         require DT_ROOT.'/include/upload.class.php';

' J2 e) w* x/ y2 y8 [/ b" o+ l

  7 y, f. @9 Z) R# o' J

8 k/ j9 C4 e: n3 e1 r) O         $ext = file_ext($_FILES['file']['name']);

( r4 k7 W5 u9 H

        $name = 'avatar'.$_userid.'.'.$ext; 0 h# }% v5 G% u! e" k

# a7 N( b( [: R5 F1 V2 g

        $file = DT_ROOT.'/file/temp/'.$name; 6 t5 g7 O. u8 T1 o5 Z: S

1 [: s3 R6 O7 V3 K1 }

0 |) l0 d" l$ N2 q, N% _4 c   9 P, ^9 m" d0 I- D

U4 a# n9 @1 E- c8 u

v% N# P- r& n' y         if(is_file($file)) file_del($file); 5 q- b8 P& w( i0 {2 B1 @

: t2 X, u/ Q( g8 c! Z: T

& k3 T3 x; T' [1 i: k3 @         $upload = new upload($_FILES, 'file/temp/', $name, 'jpg|jpeg|gif|png'); 2 X. s T0 Y" m- t

$ e; E$ g$ L1 h1 m& Y+ J2 X1 }  

) n. f2 M6 N8 E' N

, n. g2 V( O5 N         $upload->adduserid = false;

4 {- `# D/ |# I8 @6 ]+ e  

. p: d* K4 P: @; f7 W+ V

        if($upload->save()) {

! A* O" M+ C3 |( a             ... 7 b: m! C* H: V6 N' v2 o' k$ k$ Z P- L2 k

        } else {

- c; e' z0 F; j9 F+ Q! v* x5 U

            ...

        }

% r& a0 Y* L, e- T+ P

    break; % S9 X, }! p. A: U1 G8 Q" `+ ^

- a9 C+ C8 l0 H! J

这里通过$_FILES['file']依次获取了上传文件扩展名$ext、保存临时文件名$name、保存临时文件完整路径$file变量。之后通过new upload();创立一个upload对象，等到$upload->save()时再将文件真正写入。

upload对象构造函数如下，include/upload.class.php:25： 1 Q( O( L, V6 v- `) `6 i: @& z, v

, D8 B% A) U$ a

<?phpclass upload {

. T+ b, p* N% \- l. P

1 g/ Q5 a. w4 n/ j     function __construct($_file, $savepath, $savename = '', $fileformat = '') {

0 @- {* Z% ]" } B

# j' x( f' }& v z# g$ c         global $DT, $_userid; . d, d, c1 W. P* q& g" q5 o# S

        foreach($_file as $file) { # O$ R% l3 }) F

3 @$ l- H( e! V% e: F F; [

/ u* c1 B* @3 N- L' y             $this->file = $file['tmp_name'];

, \& T% Y+ b6 \6 ]1 T

' X6 L" T5 T7 b: V* S             $this->file_name = $file['name']; # M% t" f; k# o5 s7 N# G1 y

4 o N2 ]* U8 `+ [5 k+ ^             $this->file_size = $file['size'];

: i, }& H4 H) y \! n9 ]( M; G. Z: J

            $this->file_type = $file['type'];

            $this->file_error = $file['error'];

3 ?' p" B# B" U0 v% ?/ s$ ]7 ^

 

6 ]5 _& ~3 {! m( ^5 G8 M. _

        } + ~! M* }& S9 {

+ ]1 @% C J" X         $this->userid = $_userid; + v$ Q; \) A. U X+ m# N

( K: W8 T1 v) G) t+ s/ V0 p

4 I3 B9 D5 T5 w+ ~# N/ C         $this->ext = file_ext($this->file_name); 2 _0 l; ^' t: D3 O3 A- R# O d9 T

2 E: ^" W6 C( s) N' R: [' Q

/ }: J- A7 k/ O W7 ^         $this->fileformat = $fileformat ? $fileformat : $DT['uploadtype']; ) ], X6 c8 b1 D

\) B8 B9 s' g" ?: q! e2 [; e* s7 e

        $this->maxsize = $DT['uploadsize'] ? $DT['uploadsize']*1024 : 2048*1024;

        $this->savepath = $savepath; ) H# m+ v' F) ^( M5 o

3 Q) j c7 O* x/ {

2 g8 ~2 z, m" m0 T         $this->savename = $savename;

    }}

0 R5 R- g$ x+ K, H6 S- ] 这里通过foreach($_file as $file)来遍历初始化各项参数。而savepath、savename则是通过__construct($_file, $savepath, $savename = '', $fileformat = '')直接传入参数指定。 + o* e, g( w t: T& Z

7 x: z" x Y4 D: D 因此考虑上传了两个文件，第一个文件名是1.php，第二个文件是1.jpg，只要构造合理的表单上传（参考：https://www.cnblogs.com/DeanChopper/p/4673577.html），则在avatar.inc.php中 5 W w0 ^. q; D: b3 I6 Z

2 N/ O" T" L n

$ext = file_ext($_FILES['file']['name']); // `$ext`即为`php` $name = 'avatar'.$_userid.'.'.$ext; // $name 为 'avatar'.$_userid.'.'php'$file = DT_ROOT.'/file/temp/'.$name; // $file 即为 xx/xx/xx/xx.php * j# c3 M4 s, e" M6 F

0 Q3 N3 Q5 n4 t3 o4 [2 M 而在upload类中，由于多个文件上传，$this->file、$this->file_name、$this->file_type将foreach在第二次循环中被置为jpg文件。测试如下： & F5 g w) X# p( W9 L6 { e \; t; K

) V- @* u1 c2 _! O3 W) A, N |& Y0 z  

" j. b* m* J6 i! s6 p

回到avatar.inc.php，当进行文件保存时调用$upload->save()，include/upload.class.php:50: 5 q8 A1 E% A% G* [8 Z& y

& M, I u0 K. q# g8 \6 x

; Q- t6 a2 m3 R1 n# D: {9 N <?phpclass upload { ( j: f4 `6 z# N. K6 m" I1 z

g2 e* N- j6 i# b0 y V' x+ N     function save() { % D9 U- R! ? Z- g, N+ m c

        include load('include.lang'); D8 g6 J2 Y7 F$ t8 |. N7 ]

/ a/ ~' {; h# ^         if($this->file_error) return $this->_('Error(21)'.$L['upload_failed'].' ('.$L['upload_error_'.$this->file_error].')');

4 M2 R) }; d& \' A2 `

 

        if($this->maxsize > 0 && $this->file_size > $this->maxsize) return $this->_('Error(22)'.$L['upload_size_limit'].' ('.intval($this->maxsize/1024).'Kb)');

; d, d! k, Q* T6 A) \( c3 Q! r

 

* b, g$ p, R, p" I: @

' ^" t' f+ w+ P8 O         if(!$this->is_allow()) return $this->_('Error(23)'.$L['upload_not_allow']); + Y1 j. F- A% o' n+ f

3 z: H$ l5 }& r" \7 Z( Z

 

* k5 k9 x J7 v8 |& L6 P

        $this->set_savepath($this->savepath); ( q9 \; s+ c( F: f9 c( j* ^

" p. }% A7 [; Z

! K5 n7 T1 g, ^ P, S: T         $this->set_savename($this->savename);

8 R4 f4 i. ~* D/ Z

  % ^1 ?3 L* [/ o+ V, F

/ E# J! \: u: v

        if(!is_writable(DT_ROOT.'/'.$this->savepath)) return $this->_('Error(24)'.$L['upload_unwritable']); B0 K1 G( I4 P

        if(!is_uploaded_file($this->file)) return $this->_('Error(25)'.$L['upload_failed']);

! c4 I6 q7 S& X2 R1 W" Y1 ?: O         if(!move_uploaded_file($this->file, DT_ROOT.'/'.$this->saveto)) return $this->_('Error(26)'.$L['upload_failed']); 2 L+ a3 M2 e- Y1 w) s* C

/ ~. p! x( k0 y4 Z/ |  

* j# U; l1 s4 z4 Z

        $this->image = $this->is_image(); & j, f' w. M, _. D* d3 X

        if(DT_CHMOD) @chmod(DT_ROOT.'/'.$this->saveto, DT_CHMOD);

, K. r ~ o# }2 N/ T1 K         return true; 3 x7 I1 N- y! [# f2 K+ Q$ V& L9 J* U3 g

    }} ; W; D7 |& a6 L- _" @- }: D I

先经过几个基本参数的检查，然后调用$this->is_allow()来进行安全检查 include/upload.class.php:72： % g7 _, V" X5 f7 K. o. H+ _/ O

1 U9 }1 |; c2 L# S <?php

2 N. }; K8 e9 x! U7 a

    function is_allow() { ; Q* u) ~% k O% ~! j0 W8 v: a( U

2 E. e. F, Y! a8 I- k& k+ A

        if(!$this->fileformat) return false; p, a* l; R/ J U! J" A

+ `$ R6 u0 M3 |, i% l+ ^2 \0 z( R

        if(!preg_match("/^(".$this->fileformat.")$/i", $this->ext)) return false;

, y. r! C9 M; N5 r j& E7 ]

        if(preg_match("/^(php|phtml|php3|php4|jsp|exe|dll|cer|shtml|shtm|asp|asa|aspx|asax|ashx|cgi|fcgi|pl)$/i", $this->ext)) return false;

: y- A! q3 f' E+ ?

        return true;

. f* ^, O1 Y) e     }

" C3 @! h S& H4 h! V" U, e 可以看到这里仅仅对$this->ext进行了检查，如前此时$this->ext为jpg，检查通过。 # O& q; ]3 v {7 I

! N3 { r0 m+ m' s) \ 接着会进行真正的保存。通过$this->set_savepath($this->savepath); $this->set_savename($this->savename);设置了$this->saveto，然后通过move_uploaded_file($this->file, DT_ROOT.'/'.$this->saveto)将file保存到$this->saveto ，注意此时的savepath、savename、saveto均以php为后缀，而$this->file实际指的是第二个jpg文件。 : w2 d! E( b3 q) B* Y

漏洞利用

/ A1 G6 `% f. o* a ?3 l

0 p8 p- @+ Q/ A 综上，上传两个文件，其中第一个文件以php为结尾如1.php，用于设置后缀名为php；第二个文件为1.jpg，jpg用于绕过检测，其内容为php一句话木马(图片马)。

  8 k4 V# t6 S {) t" y, \1 U

然后访问http://127.0.0.1/file/temp/avatar1.php 即可。其中1是自己的_userid ( R( w% a8 s8 j2 c

; C& b, A* k9 v$ P7 s

不过实际利用上会有一定的限制。

第一点是destoon使用了伪静态规则，限制了file目录下php文件的执行。

* S9 U e) Y5 b" f

3 |! ^+ L" G$ I: M  

第二点是avatar.inc.php中在$upload->save()后，会再次对文件进行检查，然后重命名为xx.jpg：

省略...$img = array();$img[1] = $dir.'.jpg';$img[2] = $dir.'x48.jpg';$img[3] = $dir.'x20.jpg';$md5 = md5($_username);$dir = DT_ROOT.'/file/avatar/'.substr($md5, 0, 2).'/'.substr($md5, 2, 2).'/_'.$_username;$img[4] = $dir.'.jpg';$img[5] = $dir.'x48.jpg';$img[6] = $dir.'x20.jpg';file_copy($file, $img[1]);file_copy($file, $img[4]);省略... 8 h2 {8 C- c5 H0 D4 ]" M+ P$ C

+ o! k4 O2 r( q0 ]& I; o. A

# v% }' L* E* y* H" h 因此要利用成功就需要条件竞争了。 7 Q. P* r+ M- `6 p) N1 D; S" y

补丁分析

  9 s4 b: o* Y, y

在upload的一开始，就进行一次后缀名的检查。其中is_image如下： " k. Z) s3 y, b n

8 m" _/ B+ }. W+ U

/ n% E9 {; ^( U# S function is_image($file) {    return preg_match("/^(jpg|jpeg|gif|png|bmp)$/i", file_ext($file));}

# Z2 Q: d! {5 H

 

+ ?) t3 e8 H7 ?, P4 Z/ c5 s

# e+ ~( K" y7 ~! U" C# J! T- j 在__construct()的foreach中使用了break，获取了第一个文件后就跳出循环。

. I& C, P2 F% p: H

/ z `1 B3 O* {/ @ 在is_allow()中增加对$this->savename的二次检查。

最后 + J- e$ L6 d5 |5 _6 V: u

嘛，祝各位大师傅中秋快乐！ # q. t; W0 ~- K+ O& F

6 w1 k y' K* x- q* ]: h( |