Destoon cms前台getwebshell

admin

* U9 N; n, ]/ ^! H" y, D9 k

/ H5 K& \# j% t1 c- H

前言

2018年9月21日，Destoon官方发布安全更新，修复了由用户“索马里的海贼”反馈的一个漏洞。

 

2 `" I+ a. C; G 漏洞分析 5 m( h* m3 T& T% x0 d- x& ?

( T" M# P0 R6 I' e 根据更新消息可知漏洞发生在头像上传处。Destoon中处理头像上传的是 module/member/avatar.inc.php 文件。在会员中心处上传头像时抓包，部分内容如下： 7 z" B( l4 L, m9 |+ r0 K

  ; u2 m# t% T9 }" A9 Y1 [

对应着avatar.inc.php代码如下：

0 r5 q$ ^( Q/ \5 m8 F) @

5 A) H6 C* ^4 K% _5 |) q8 K <?php defined('IN_DESTOON') or exit('Access Denied');login();require DT_ROOT.'/module/'.$module.'/common.inc.php';require DT_ROOT.'/include/post.func.php';$avatar = useravatar($_userid, 'large', 0, 2);switch($action) { & a/ } z3 ~- v& v' ?+ K; A8 D

    case 'upload':

9 F2 O0 g) N% H# [         if(!$_FILES['file']['size']) {

0 e/ G2 E! w6 ?, O, A" b

            if($DT_PC) dheader('?action=html&reload='.$DT_TIME); ) n% t( s7 H8 ]! {

4 I9 t. j# m* n             exit('{"error":1,"message":"Error FILE"}');

        }

1 v( ]1 I5 v( h, G         require DT_ROOT.'/include/upload.class.php'; 7 Z+ \8 h x u% X9 A, H

6 o. p4 P) p9 A8 a+ v0 s

3 e5 K. Z/ h0 h# F- v B   ; h7 {, S x8 K9 ^5 F$ f; r

9 @/ M/ U2 L0 @, D

( m s0 ~/ Z5 T6 z3 i. ~; H: }         $ext = file_ext($_FILES['file']['name']);

        $name = 'avatar'.$_userid.'.'.$ext; 7 O+ b+ T4 m1 K8 N6 c5 u

! B0 e9 M! A0 c

        $file = DT_ROOT.'/file/temp/'.$name;

/ u1 m: U4 u R

 

        if(is_file($file)) file_del($file);

& t2 n; k- y; i @ I1 R5 u

        $upload = new upload($_FILES, 'file/temp/', $name, 'jpg|jpeg|gif|png');

+ f: q4 {% ]( f9 ~& ~/ P9 }5 Y

 

        $upload->adduserid = false; % ?5 @ G& @, y! [

) X1 G' r6 A" g" ~; \

b- T8 d! Z' M! \  

+ I% r6 q6 b: E0 _( w

        if($upload->save()) {

            ...

3 @( N q" P$ R: ]+ l         } else { 6 H/ U0 v2 G3 S: X6 O6 q

: N6 V- q5 @) h( c W! p! b) A7 B

4 R @5 B. p" y( o             ... + d3 S, n8 ^. P- {7 p! ^) e% O6 w7 ^4 z' _

        } 6 q& |# [+ A/ q

$ H# l# z! P$ \, r; t G ^

! g( r% f$ S4 ^ T+ B( P. M" @- A     break; % n# e& Y0 R) x! \2 f

; h$ a& B% p$ \" N; M; W

这里通过$_FILES['file']依次获取了上传文件扩展名$ext、保存临时文件名$name、保存临时文件完整路径$file变量。之后通过new upload();创立一个upload对象，等到$upload->save()时再将文件真正写入。

. D3 b, F5 M! ~0 T

# |0 y x7 ~6 J0 ]8 T5 H) i upload对象构造函数如下，include/upload.class.php:25：

( K7 b, Y1 a- f5 R

<?phpclass upload {

* ?/ N" Q4 J2 ~5 \/ ?4 Y* z: d     function __construct($_file, $savepath, $savename = '', $fileformat = '') { ; [$ c( W' |/ _) H7 U# B3 U

        global $DT, $_userid; $ i4 A, f# r2 u3 v

8 q+ Q P& ^, z, ~6 I

$ y+ s. N2 @; k p+ W         foreach($_file as $file) {

& r* l9 p, B1 w" V. Y

            $this->file = $file['tmp_name'];

7 n# L1 S3 h0 f3 r' x, E

' C# R0 a" F, P3 Q6 }: y             $this->file_name = $file['name']; 9 ?0 `: r, v6 L) O

2 H1 p0 g0 R3 }- @# l! [7 V# ^

( X/ M3 X" a+ H5 d5 C- X             $this->file_size = $file['size']; 0 O. E- L5 \9 H! X, a/ ]

7 j r* \; l8 M# T7 I* d9 o

2 Q, s+ ~& I/ A7 r* A8 c* F             $this->file_type = $file['type']; $ Q3 b0 C" F- b

5 P% w6 {( ]7 b, W& v* A9 ^             $this->file_error = $file['error'];

/ H5 I" w" T3 L: T0 i1 q# H

0 h2 r5 ?; j3 J! ~  

4 b4 t) [- r: K# w- |0 X- k, N9 ~3 d         } 7 @5 c; i# b1 a( H# h

        $this->userid = $_userid;

6 {) @: ~. T6 y9 N

        $this->ext = file_ext($this->file_name);

. G! ?+ k0 | k2 f" A: O         $this->fileformat = $fileformat ? $fileformat : $DT['uploadtype'];

4 f o7 s3 D! u- L+ E: D- O0 u9 H5 W         $this->maxsize = $DT['uploadsize'] ? $DT['uploadsize']*1024 : 2048*1024;

+ \, E8 R; i( \0 \         $this->savepath = $savepath;

6 n2 ]- ` S$ U5 ~% {

        $this->savename = $savename;

    }} 7 S# _% {3 u0 Y

. ]/ _) h' r7 g4 O 这里通过foreach($_file as $file)来遍历初始化各项参数。而savepath、savename则是通过__construct($_file, $savepath, $savename = '', $fileformat = '')直接传入参数指定。 8 x5 U3 Z8 O4 M6 \: h. ~/ N7 ^

因此考虑上传了两个文件，第一个文件名是1.php，第二个文件是1.jpg，只要构造合理的表单上传（参考：https://www.cnblogs.com/DeanChopper/p/4673577.html），则在avatar.inc.php中

$ext = file_ext($_FILES['file']['name']); // `$ext`即为`php` $name = 'avatar'.$_userid.'.'.$ext; // $name 为 'avatar'.$_userid.'.'php'$file = DT_ROOT.'/file/temp/'.$name; // $file 即为 xx/xx/xx/xx.php

& T" [" \$ b0 ^9 q" w6 I

而在upload类中，由于多个文件上传，$this->file、$this->file_name、$this->file_type将foreach在第二次循环中被置为jpg文件。测试如下：

+ i; }, a6 p* }7 Z

  9 I! O4 [2 m6 ?

: |# W/ r% N+ p, @9 _: S

回到avatar.inc.php，当进行文件保存时调用$upload->save()，include/upload.class.php:50: . ]2 s( B5 O% r6 d0 ?( T1 |

+ I0 B( G' W# y2 V# ?# I

, J1 R: U5 ?$ _4 H" B( M& h <?phpclass upload {

    function save() {

. Q1 C+ \5 f" I$ ]         include load('include.lang'); 5 r _( G) W7 J' c, ? G2 k

, b9 c8 P! W2 g7 g+ N; }+ w

        if($this->file_error) return $this->_('Error(21)'.$L['upload_failed'].' ('.$L['upload_error_'.$this->file_error].')'); ; D1 H# M8 ?' f5 J+ m

  " K6 {9 d; U! I [& z5 ]

        if($this->maxsize > 0 && $this->file_size > $this->maxsize) return $this->_('Error(22)'.$L['upload_size_limit'].' ('.intval($this->maxsize/1024).'Kb)');

' Z7 t& A$ F; f/ [9 v0 ^! F

 

/ |' C" k$ ]2 T( t         if(!$this->is_allow()) return $this->_('Error(23)'.$L['upload_not_allow']); . L8 L" i0 }! M' u- W

- u" n& n" y5 ]# ~9 l# W% o" z

 

        $this->set_savepath($this->savepath); / ?- | T) e. V; K

. T8 R Z- L$ s( E; B+ g6 U

5 s4 s0 Q$ \+ A5 W         $this->set_savename($this->savename);

! s4 z+ ^0 F, ^/ f I

K$ V& q/ J+ }2 `) J9 K- @  

' P5 \* C2 g1 u6 h; Q4 M9 ]

        if(!is_writable(DT_ROOT.'/'.$this->savepath)) return $this->_('Error(24)'.$L['upload_unwritable']); * l9 E" X+ T# F6 _& M/ g4 Y- a2 ?

        if(!is_uploaded_file($this->file)) return $this->_('Error(25)'.$L['upload_failed']);

( E) ?+ ^3 i6 r1 E         if(!move_uploaded_file($this->file, DT_ROOT.'/'.$this->saveto)) return $this->_('Error(26)'.$L['upload_failed']);

 

        $this->image = $this->is_image();

e) A7 g% a" m2 ?9 {1 |$ N

0 V3 g5 Y0 G: K         if(DT_CHMOD) @chmod(DT_ROOT.'/'.$this->saveto, DT_CHMOD);

. z% m0 ^2 a+ j0 m# B" Y5 V         return true;

2 M. [9 m, R+ i) a2 X- O

    }} : G; C" [- b+ b6 s; d

, i, _0 i0 v- t0 z1 a" v* P* F% c

先经过几个基本参数的检查，然后调用$this->is_allow()来进行安全检查 include/upload.class.php:72：

<?php

+ W$ I+ |. ?; `2 Z+ C4 \

. L9 a+ T" A2 w4 l5 I K2 g T     function is_allow() { 3 Q3 B# v3 o+ E) w3 A8 x

: p3 \/ O. @, Y         if(!$this->fileformat) return false;

" h1 a3 j z) i, y' X: ~         if(!preg_match("/^(".$this->fileformat.")$/i", $this->ext)) return false;

        if(preg_match("/^(php|phtml|php3|php4|jsp|exe|dll|cer|shtml|shtm|asp|asa|aspx|asax|ashx|cgi|fcgi|pl)$/i", $this->ext)) return false;

' c" q. k+ c- ~( ~8 {

) D7 c& i) L7 l- x         return true;

$ f5 ^1 B7 f! ~$ \/ e6 r     } 9 D0 \* A2 W3 w: w& A

可以看到这里仅仅对$this->ext进行了检查，如前此时$this->ext为jpg，检查通过。

3 l/ |' k7 \1 C3 L# n1 _ 接着会进行真正的保存。通过$this->set_savepath($this->savepath); $this->set_savename($this->savename);设置了$this->saveto，然后通过move_uploaded_file($this->file, DT_ROOT.'/'.$this->saveto)将file保存到$this->saveto ，注意此时的savepath、savename、saveto均以php为后缀，而$this->file实际指的是第二个jpg文件。 3 s3 {5 w, {0 J

6 `* |! D# t3 N) w0 a& Z 漏洞利用

: s' z! l7 \" E- u# U

v) [/ T+ d! x r) z: x+ j. H 综上，上传两个文件，其中第一个文件以php为结尾如1.php，用于设置后缀名为php；第二个文件为1.jpg，jpg用于绕过检测，其内容为php一句话木马(图片马)。 & E' R- N& p& j H# ~+ e, }/ R% y

) {' y% ~- N7 [' B

  4 ~ y5 Q8 ?) U$ {; N" H9 E% Q! l

, D9 K% @1 z# Q G8 ]" q 然后访问http://127.0.0.1/file/temp/avatar1.php 即可。其中1是自己的_userid

不过实际利用上会有一定的限制。

9 i& }8 [9 c, Q

第一点是destoon使用了伪静态规则，限制了file目录下php文件的执行。

  7 w" V7 V" m0 S/ z, |& W; m; O# O {

' h2 g. j4 Y" ~& p0 a4 A! w

第二点是avatar.inc.php中在$upload->save()后，会再次对文件进行检查，然后重命名为xx.jpg：

) m7 o1 i1 x- Y; l1 R/ i) C; d9 @# T. t. s

8 M8 _3 P$ Q. ~- Q* t 省略...$img = array();$img[1] = $dir.'.jpg';$img[2] = $dir.'x48.jpg';$img[3] = $dir.'x20.jpg';$md5 = md5($_username);$dir = DT_ROOT.'/file/avatar/'.substr($md5, 0, 2).'/'.substr($md5, 2, 2).'/_'.$_username;$img[4] = $dir.'.jpg';$img[5] = $dir.'x48.jpg';$img[6] = $dir.'x20.jpg';file_copy($file, $img[1]);file_copy($file, $img[4]);省略... , p& G! @- n6 }" w F* q

/ r0 P' N% O5 x* f% t6 F 因此要利用成功就需要条件竞争了。

3 m; R% S$ {: @! J' v+ _( w; o

; t& R: O, [$ j# m* Q 补丁分析

  + y' R2 W; p, v# z0 H5 D

在upload的一开始，就进行一次后缀名的检查。其中is_image如下：

function is_image($file) {    return preg_match("/^(jpg|jpeg|gif|png|bmp)$/i", file_ext($file));} ; x8 H2 u/ M; }

4 m9 X+ u0 X5 `+ ~

  8 ~. [% [) a5 Y( l7 v9 g! @1 F

+ y& B1 B/ _/ J8 m3 D& U1 u" A

" c, a' J6 i, H b4 W3 a 在__construct()的foreach中使用了break，获取了第一个文件后就跳出循环。 ) K: i4 T, K8 B% m" v& b) i; t5 i n

j. w. V' ~5 y# L

6 o9 l3 t1 I# j 在is_allow()中增加对$this->savename的二次检查。 / a2 p! {! x) V( k

5 c/ N1 b* u% Q7 I5 h0 `" @

% M3 e v0 V5 h0 s2 n: J1 e3 ^ 最后

6 Y; d9 p0 a- Z6 s2 F9 N/ N: u7 z' ~

5 F( ]& h* v/ ?3 y+ w 嘛，祝各位大师傅中秋快乐！

5 G0 }' b0 n% N9 H+ p# k( t

  5 `; m, h0 t: j4 z

: N' h0 X8 V8 g5 A) Y' ~