Destoon cms前台getwebshell

admin

N4 c7 ^3 h$ C/ [% r

: G& a7 R3 e# I' u0 ] 前言

* F4 B; F6 v! T0 ^) Y* b

8 R% ]- q3 Z4 V: p2 N; C- h3 H 2018年9月21日，Destoon官方发布安全更新，修复了由用户“索马里的海贼”反馈的一个漏洞。 # ^3 [6 j7 Q8 m" u" Y% K$ R

 

漏洞分析

' m/ w$ R% U/ o& b, L3 u

根据更新消息可知漏洞发生在头像上传处。Destoon中处理头像上传的是 module/member/avatar.inc.php 文件。在会员中心处上传头像时抓包，部分内容如下： $ x8 o* [0 ~. | D U6 v3 m

& U" Z- D, k5 `, j1 i

! ?/ W3 ~5 N5 f/ D( F$ @* e5 t  

/ P u% R1 q q' ~: `$ j$ u 对应着avatar.inc.php代码如下： - u* b1 ~ n" k! O7 ^* L, p7 [

! c$ b) H9 r- r; a- W

) w: E& J; N0 e <?php defined('IN_DESTOON') or exit('Access Denied');login();require DT_ROOT.'/module/'.$module.'/common.inc.php';require DT_ROOT.'/include/post.func.php';$avatar = useravatar($_userid, 'large', 0, 2);switch($action) {

    case 'upload':

; k& x7 E( }+ |: Z& ^8 i* C" A

* g2 x! S# O) y) a3 I0 s- D1 T9 F         if(!$_FILES['file']['size']) { ) _* w* Z! F/ P) |3 U9 r$ X

2 l @$ P2 [% x! J3 Q             if($DT_PC) dheader('?action=html&reload='.$DT_TIME); ) i; ]4 K g& c0 R, ^7 M

: o- B1 X& U' V' `- V

            exit('{"error":1,"message":"Error FILE"}');

( |5 F, h' S- M0 M

" P: a1 E6 f- U, T0 T0 D( p4 q2 r         } 3 Z8 D5 Z; a Z& R2 p

        require DT_ROOT.'/include/upload.class.php';

 

0 k: K% R+ m6 m$ l; b( T `( |0 R. w) l

" _& L! P& @: V         $ext = file_ext($_FILES['file']['name']); 8 V( r1 T2 H) V* P; h3 g8 h9 U2 K

8 Y; |" T5 y: H" k2 ^' @. E% X& K

        $name = 'avatar'.$_userid.'.'.$ext;

        $file = DT_ROOT.'/file/temp/'.$name;

: N- O' q- ], j/ M! S- }1 E; @! H

  # J. O2 `, N* _4 r0 o+ Q9 ]

        if(is_file($file)) file_del($file);

8 a' O$ @$ f5 q& g         $upload = new upload($_FILES, 'file/temp/', $name, 'jpg|jpeg|gif|png');

 

7 R9 |7 S- Y! |+ N7 i x; O8 e; W         $upload->adduserid = false; 9 n& @# d5 |$ A% o, M* c/ J- Z" K

 

' _9 \6 ^' E; E! H% x) A         if($upload->save()) { 8 \/ n, ?, I( L9 G1 |' ]* T# a: Y

            ... ' b+ `! L/ J& p- v: ?' H2 Q

C% w3 t" b' X* G4 I         } else {

) ]7 C3 Q* V4 A2 X

            ...

/ ?1 Z) h+ H6 p0 o         } ; f# ^1 G/ s2 J) x9 a

    break;

6 q' q) e( s e# F) g& ^+ X

这里通过$_FILES['file']依次获取了上传文件扩展名$ext、保存临时文件名$name、保存临时文件完整路径$file变量。之后通过new upload();创立一个upload对象，等到$upload->save()时再将文件真正写入。

; F! E0 N! }! d" S

d. d8 d+ }2 m. t7 ?* O' @1 N U upload对象构造函数如下，include/upload.class.php:25：

; D6 Q! b* y5 p/ r

<?phpclass upload {

f9 q8 v- j0 ]     function __construct($_file, $savepath, $savename = '', $fileformat = '') {

        global $DT, $_userid;

S! g* j r" a) y, u& E

        foreach($_file as $file) { ' v) J1 N$ L. @9 J0 K

$ G# c' y" N# G$ U, ~0 }

            $this->file = $file['tmp_name'];

" C2 {, @8 S+ k             $this->file_name = $file['name'];

$ D9 X+ ?. z3 u             $this->file_size = $file['size'];

! f% a& \7 w- G

5 M" h+ l" N' U1 Y; \             $this->file_type = $file['type']; " |9 v* ]5 Z, `- Z; z$ o/ E$ A

2 x, G( Z; i+ v: Q2 H# u: z- H

# d) Z4 s4 C& `1 ?             $this->file_error = $file['error']; : ^. U: s* c# P5 u m" _& R

4 C# D6 p S$ [2 r; ?9 [. ]1 A  

% ]5 I8 B$ |- l

' _- u. }) l9 U' A5 L' d         } ' K, {$ Z" c" p) M0 d

        $this->userid = $_userid;

% q: l$ `! P$ a8 F6 n1 y$ Y4 R' R7 f

        $this->ext = file_ext($this->file_name); 4 m# h: \4 ~# {( h3 ^

" R) }0 }, W5 I, h t* N- U3 K6 s         $this->fileformat = $fileformat ? $fileformat : $DT['uploadtype'];

3 e6 ^! j2 F- P8 x

        $this->maxsize = $DT['uploadsize'] ? $DT['uploadsize']*1024 : 2048*1024;

        $this->savepath = $savepath; 3 E7 l; b$ k( N9 c

        $this->savename = $savename; ( _& \! @8 p5 p) K; U7 i" Z

5 M# M3 }. ]* p7 D     }} 6 O- A$ A. X" S! z C) `

8 L# ^6 z" F' A R* {* _

! v ?0 p3 ^% j. k9 X3 c4 c; ^" k$ p 这里通过foreach($_file as $file)来遍历初始化各项参数。而savepath、savename则是通过__construct($_file, $savepath, $savename = '', $fileformat = '')直接传入参数指定。 ' W' J3 `" w8 W

# F, R( ~% I/ ?8 ^2 M5 I5 q- r

0 D% L% O: S2 X b/ y/ _& [: m 因此考虑上传了两个文件，第一个文件名是1.php，第二个文件是1.jpg，只要构造合理的表单上传（参考：https://www.cnblogs.com/DeanChopper/p/4673577.html），则在avatar.inc.php中 6 A2 E7 A7 O( h3 T4 @

$ext = file_ext($_FILES['file']['name']); // `$ext`即为`php` $name = 'avatar'.$_userid.'.'.$ext; // $name 为 'avatar'.$_userid.'.'php'$file = DT_ROOT.'/file/temp/'.$name; // $file 即为 xx/xx/xx/xx.php

8 Q! ~7 }: Q; Q% g$ b# \- p

而在upload类中，由于多个文件上传，$this->file、$this->file_name、$this->file_type将foreach在第二次循环中被置为jpg文件。测试如下：

* |% C! V ?: B5 B8 l  

2 i! M0 M0 ^; _8 _! d 回到avatar.inc.php，当进行文件保存时调用$upload->save()，include/upload.class.php:50:

<?phpclass upload {

h* P; r4 h9 c! f7 P9 n     function save() { $ f" z. T3 g' L3 Z

0 x' Z$ G" w- O& y# A1 H, X. [

        include load('include.lang');

        if($this->file_error) return $this->_('Error(21)'.$L['upload_failed'].' ('.$L['upload_error_'.$this->file_error].')');

+ A1 g- Q" N9 m$ p- J' k+ l  

/ D, a0 q: I3 T

, r" d" Z5 ~) _6 Q1 [& D! i         if($this->maxsize > 0 && $this->file_size > $this->maxsize) return $this->_('Error(22)'.$L['upload_size_limit'].' ('.intval($this->maxsize/1024).'Kb)');

 

7 T7 y, m1 f. b" v- {2 F         if(!$this->is_allow()) return $this->_('Error(23)'.$L['upload_not_allow']); ) }* H5 U) B! Z: ~ b2 D

* u- ~1 l7 w5 o' M   + ?# L' b; s, |) D) k

Q# G) {- e. F7 r

/ e3 v: y* Z9 b/ _* f* m         $this->set_savepath($this->savepath);

8 I u7 W( u; ?6 I! X% U         $this->set_savename($this->savename); 2 {$ n0 F% W9 b' i& W

 

        if(!is_writable(DT_ROOT.'/'.$this->savepath)) return $this->_('Error(24)'.$L['upload_unwritable']); % q7 |& [0 [1 _( j/ {9 ~

?+ k+ [3 Z$ U' ?" U m$ ^9 _2 }$ J         if(!is_uploaded_file($this->file)) return $this->_('Error(25)'.$L['upload_failed']);

* s' H' O4 g* g$ c

6 |7 z, m3 ~4 w3 U/ Z         if(!move_uploaded_file($this->file, DT_ROOT.'/'.$this->saveto)) return $this->_('Error(26)'.$L['upload_failed']); , M( i8 C* X% M$ c

) P+ V3 |, N: M! F: H5 X& c3 D   ! ^4 Q% Q- r4 g$ Q8 N9 K9 }

! b: i$ C1 |7 E( d4 L0 y+ T4 x1 k         $this->image = $this->is_image();

. A8 }2 f& N- P         if(DT_CHMOD) @chmod(DT_ROOT.'/'.$this->saveto, DT_CHMOD); - [" H0 n ~; j! M+ w- m

        return true;

4 w/ S; m+ Q4 ]: b     }}

先经过几个基本参数的检查，然后调用$this->is_allow()来进行安全检查 include/upload.class.php:72： & K' w a& X, A3 C5 D

: {- u/ d, X. X. A) U+ K

5 P! n0 i% y/ [% J <?php

" w$ Z: |/ M* b) W

    function is_allow() { ) G- ^/ |. O$ V4 Q

2 ~7 _3 [! K7 ?& `) O9 f

        if(!$this->fileformat) return false; M9 z& Y h& S/ c* Z: T9 q5 g, Z

0 y) T* C' \+ y: W4 U7 q0 `& R

        if(!preg_match("/^(".$this->fileformat.")$/i", $this->ext)) return false; + r$ e" v" ^3 }9 e7 x3 q

        if(preg_match("/^(php|phtml|php3|php4|jsp|exe|dll|cer|shtml|shtm|asp|asa|aspx|asax|ashx|cgi|fcgi|pl)$/i", $this->ext)) return false;

        return true; # a% V* T/ e) e

    }

4 T8 b1 F; T" |- }

8 I$ c; L, U( r# H4 s7 C 可以看到这里仅仅对$this->ext进行了检查，如前此时$this->ext为jpg，检查通过。 ; }! y5 }2 C: b/ m9 E8 H

( [. r4 _ v3 ~) V

) r9 M* a. V% d1 Y. q% {1 u: Y$ ~ 接着会进行真正的保存。通过$this->set_savepath($this->savepath); $this->set_savename($this->savename);设置了$this->saveto，然后通过move_uploaded_file($this->file, DT_ROOT.'/'.$this->saveto)将file保存到$this->saveto ，注意此时的savepath、savename、saveto均以php为后缀，而$this->file实际指的是第二个jpg文件。 : |% O1 M2 o i# h# d

漏洞利用 ( H& |1 s& a5 v) f* c

综上，上传两个文件，其中第一个文件以php为结尾如1.php，用于设置后缀名为php；第二个文件为1.jpg，jpg用于绕过检测，其内容为php一句话木马(图片马)。 8 ]; f! J M# h9 ~" ^1 Z0 ]

1 F$ L9 _: s- {& g7 w% S8 ?

: b) Q8 w& F1 @1 }0 m; F2 ^  

然后访问http://127.0.0.1/file/temp/avatar1.php 即可。其中1是自己的_userid ! T$ L/ K+ ]. M5 x

不过实际利用上会有一定的限制。

' ?8 S# l' |6 J

第一点是destoon使用了伪静态规则，限制了file目录下php文件的执行。 8 a; l2 ]5 G. W' y$ A0 v+ \% p

2 Q& ~- B" f1 }+ s  

5 B4 z8 q) m& f/ d

0 n* H& a4 b3 |) m9 e; S" j 第二点是avatar.inc.php中在$upload->save()后，会再次对文件进行检查，然后重命名为xx.jpg：

) v4 N: ?7 j7 l# ~ ~

, P6 ~$ R' i( g4 F' a" L2 f 省略...$img = array();$img[1] = $dir.'.jpg';$img[2] = $dir.'x48.jpg';$img[3] = $dir.'x20.jpg';$md5 = md5($_username);$dir = DT_ROOT.'/file/avatar/'.substr($md5, 0, 2).'/'.substr($md5, 2, 2).'/_'.$_username;$img[4] = $dir.'.jpg';$img[5] = $dir.'x48.jpg';$img[6] = $dir.'x20.jpg';file_copy($file, $img[1]);file_copy($file, $img[4]);省略...

因此要利用成功就需要条件竞争了。

2 j, l5 e2 u1 \

补丁分析

  % e, \. E6 n% M5 T

3 n) E. ?2 k: K/ b$ s 在upload的一开始，就进行一次后缀名的检查。其中is_image如下： - e& ^, ?1 a4 g5 H8 F$ X/ ]/ V; N* \

/ T% |( ^; a5 A function is_image($file) {    return preg_match("/^(jpg|jpeg|gif|png|bmp)$/i", file_ext($file));}

9 s2 U$ E5 u+ z  

在__construct()的foreach中使用了break，获取了第一个文件后就跳出循环。

3 r5 Q! o `' Y8 `2 e" j9 C8 N

" e. N( k/ G9 B) Q4 `! ` 在is_allow()中增加对$this->savename的二次检查。 5 _+ H- c) ~% H8 z1 z9 [

+ u7 ^9 u! ^5 J, J3 t, v3 o

最后

嘛，祝各位大师傅中秋快乐！