Destoon cms前台getwebshell

admin

7 O3 k2 Z1 o j5 Y/ D6 W

3 \1 q- a6 O* a) \! w

* t. b! [# q+ T$ d$ x0 U+ a6 k

) ]3 z/ a9 m3 n 前言

2018年9月21日，Destoon官方发布安全更新，修复了由用户“索马里的海贼”反馈的一个漏洞。

$ K1 w. J9 b+ c3 r; X; ?  

+ k" h/ M) `" P5 i

漏洞分析 " `. s& ^2 k1 G# M

: f- k7 q5 e5 n0 m 根据更新消息可知漏洞发生在头像上传处。Destoon中处理头像上传的是 module/member/avatar.inc.php 文件。在会员中心处上传头像时抓包，部分内容如下：

0 a' t$ ]: Y/ x! K" b

 

. z6 [$ W, E) g+ \ 对应着avatar.inc.php代码如下：

3 Y6 d1 r( Y5 v8 B u4 M

3 e1 p1 r5 y U4 p <?php defined('IN_DESTOON') or exit('Access Denied');login();require DT_ROOT.'/module/'.$module.'/common.inc.php';require DT_ROOT.'/include/post.func.php';$avatar = useravatar($_userid, 'large', 0, 2);switch($action) { 6 r0 w: M# j! H

    case 'upload': ! |& |) K5 U' g$ m, P& u3 ~; p

/ b1 L' r8 ^: l7 R0 D

) G+ {5 O" o) w6 M. T, U# K+ a         if(!$_FILES['file']['size']) { 9 E1 X; e) ~8 e% m* N

            if($DT_PC) dheader('?action=html&reload='.$DT_TIME);

2 j; N: L) ?# L- F2 A4 t2 [9 S# e

            exit('{"error":1,"message":"Error FILE"}');

        }

        require DT_ROOT.'/include/upload.class.php';

e1 o& G4 q4 \

7 w$ r! U3 h1 ~- f2 r9 K/ @   , e: c9 `9 p$ i- [1 c* J+ G

1 z$ b/ ]8 N8 Q- P* X         $ext = file_ext($_FILES['file']['name']);

. ^2 s' Z4 s, [5 g/ A v1 Q2 [         $name = 'avatar'.$_userid.'.'.$ext; ; ]: C, V! I9 R. B/ m. k. X

w9 y, a6 {& m, z' n! U

" c1 ~/ Y& O/ A6 D G0 b4 q" d: I         $file = DT_ROOT.'/file/temp/'.$name;

3 Z- e1 K( H" [

 

1 S8 f4 d3 ^3 c z6 Y, \8 a S

g& Z6 w4 r% W! M) A9 J         if(is_file($file)) file_del($file); 8 J0 b$ E, b% Q* C

        $upload = new upload($_FILES, 'file/temp/', $name, 'jpg|jpeg|gif|png');

5 n% v; k' N& _' Q& N' d; s

3 h9 i) t' v% d  

        $upload->adduserid = false;

' g8 D4 Y4 Z6 D4 ~, ^   - ~' `1 x# ], ~6 x- R x

4 D# Z% W% u" S( m' X

3 X# m6 c1 B# N( `         if($upload->save()) {

            ... ! [0 W7 a. p5 k4 Z$ e

        } else {

& P: q, h3 m: y8 H+ _6 `! {             ...

& y9 y% i4 X" P& a) n

- ~4 V: R2 m+ z* ^0 t         } * x$ A( S' a8 h: [0 t. U

    break; + t: x) j, S* l9 V

这里通过$_FILES['file']依次获取了上传文件扩展名$ext、保存临时文件名$name、保存临时文件完整路径$file变量。之后通过new upload();创立一个upload对象，等到$upload->save()时再将文件真正写入。

9 k0 t& X, z3 [- i9 L! ?9 _: D upload对象构造函数如下，include/upload.class.php:25： 6 B/ S6 A2 ~0 K) q' [) b( Y

) g0 [" v5 F7 {' z+ \$ U <?phpclass upload { ' b3 s* ^ G$ M8 Y7 Y# ]0 C4 C

/ p7 n, V4 j. |7 J; \

    function __construct($_file, $savepath, $savename = '', $fileformat = '') { 5 P7 P# g4 U1 ]! G

2 E$ C- T' r: r) @; | @4 z         global $DT, $_userid; 0 }. H+ j0 U r+ ^

* k. o% R1 b6 O2 R         foreach($_file as $file) { 3 r3 V) k4 J1 n" e$ [+ ]' C

& O) j' f+ O* }& R2 v

            $this->file = $file['tmp_name']; ! l" N* _* |+ Y$ W- b

; b' A4 d: D/ { a

            $this->file_name = $file['name']; 9 X" F3 k$ X, z" [3 V

            $this->file_size = $file['size'];

1 m# ^6 s8 Z S% V; |, ^1 ?; n             $this->file_type = $file['type']; 8 X; t3 s! ?, }( ]9 ^% O

5 c# S9 `; `/ I' H4 t             $this->file_error = $file['error'];

  , \+ } k! D" B0 ?

        }

        $this->userid = $_userid;

" t/ A$ _. x# k# i ]/ i

9 {# b" y: [/ I1 i6 W* I6 I         $this->ext = file_ext($this->file_name);

9 A5 _( @5 G. y4 A5 x y/ l

( g1 Y" q8 p$ [. `. N2 ~3 Y- w         $this->fileformat = $fileformat ? $fileformat : $DT['uploadtype'];

5 B7 K# P# h2 W. q9 h         $this->maxsize = $DT['uploadsize'] ? $DT['uploadsize']*1024 : 2048*1024; 1 [/ [% L! E3 l9 P+ [: L @6 y

        $this->savepath = $savepath;

" e) s* i: H4 s* f1 b; x

        $this->savename = $savename;

2 s* j: M% {2 X" |9 u' A     }}

1 D0 }. ]5 s' H

. E/ W6 o4 I8 X4 j7 F* c9 R$ H 这里通过foreach($_file as $file)来遍历初始化各项参数。而savepath、savename则是通过__construct($_file, $savepath, $savename = '', $fileformat = '')直接传入参数指定。 * e5 W1 A/ j. U1 A0 R! Q

. k6 E+ ]0 ~) a' d

2 f5 r- k: z9 o: p3 B 因此考虑上传了两个文件，第一个文件名是1.php，第二个文件是1.jpg，只要构造合理的表单上传（参考：https://www.cnblogs.com/DeanChopper/p/4673577.html），则在avatar.inc.php中

$ext = file_ext($_FILES['file']['name']); // `$ext`即为`php` $name = 'avatar'.$_userid.'.'.$ext; // $name 为 'avatar'.$_userid.'.'php'$file = DT_ROOT.'/file/temp/'.$name; // $file 即为 xx/xx/xx/xx.php $ }- X1 ^8 A4 P/ r

而在upload类中，由于多个文件上传，$this->file、$this->file_name、$this->file_type将foreach在第二次循环中被置为jpg文件。测试如下：

  6 z) b' V5 m4 g R

9 s, W% b3 ]' r1 u0 Y5 J 回到avatar.inc.php，当进行文件保存时调用$upload->save()，include/upload.class.php:50: 7 ~0 l$ ?! t0 q) u* d$ e- _

9 E6 E# z& t3 r: q <?phpclass upload { % |" O7 R5 ] ^0 t a. R& N m, ?

: @8 N/ O2 E5 G3 j5 Y+ e

    function save() { $ J7 ?) a+ E3 T9 y" U

8 O: r6 ]& Z/ X( {% I U

        include load('include.lang');

6 e; h0 @- B& Q+ x4 D0 y

        if($this->file_error) return $this->_('Error(21)'.$L['upload_failed'].' ('.$L['upload_error_'.$this->file_error].')'); - P, s6 ]% C- Q$ o6 j

  ) w9 x* C, ], u% F. V: I

        if($this->maxsize > 0 && $this->file_size > $this->maxsize) return $this->_('Error(22)'.$L['upload_size_limit'].' ('.intval($this->maxsize/1024).'Kb)');

0 @5 Q" ]* c4 n) @ b

 

# G0 K0 r1 L2 i0 J: A: N5 n, |         if(!$this->is_allow()) return $this->_('Error(23)'.$L['upload_not_allow']);

 

5 w- u# n2 z1 L3 w4 A: A: T" F9 G

        $this->set_savepath($this->savepath);

        $this->set_savename($this->savename); 5 i: b" l8 t4 e

2 B( I; R5 x! k0 ^( r: e. X! z

  # m" ]4 L& s7 ]* ]) g

* y" ]) x1 v' n$ H         if(!is_writable(DT_ROOT.'/'.$this->savepath)) return $this->_('Error(24)'.$L['upload_unwritable']); 9 A* i! b& ~, _9 R3 t

        if(!is_uploaded_file($this->file)) return $this->_('Error(25)'.$L['upload_failed']);

4 U0 |9 h/ a! {% n3 k; ?

        if(!move_uploaded_file($this->file, DT_ROOT.'/'.$this->saveto)) return $this->_('Error(26)'.$L['upload_failed']); $ Y; L' C% T+ u1 P9 U. J. U w

5 M( ?' c0 N7 A) o

  0 X/ P+ d5 V0 T# N

# g# j* ^0 X/ R$ g

        $this->image = $this->is_image(); 9 c( t6 _* M# Y& ?+ W' T* V: Z M7 c

        if(DT_CHMOD) @chmod(DT_ROOT.'/'.$this->saveto, DT_CHMOD); . O8 `0 ~! @3 w5 M+ t- F* s

        return true;

# | p8 R, j5 K     }} ! u& g" x" O0 Z1 F+ p

' a* z+ l. X J0 U5 {

先经过几个基本参数的检查，然后调用$this->is_allow()来进行安全检查 include/upload.class.php:72： 4 G" I6 y$ f, n4 _2 O% i1 b

$ l$ n+ G- }+ v2 l( g9 U

* v7 J% v3 {* E <?php

X; {, Z- x v: V% E5 G2 K @

    function is_allow() { D. {- G$ `- S, m7 ~

; \0 D" H i0 f- }4 c( k         if(!$this->fileformat) return false; * t; K/ t" i# y4 O; Z) W

( D6 T5 ]; K/ ^2 K* v* g( S3 T4 d         if(!preg_match("/^(".$this->fileformat.")$/i", $this->ext)) return false;

1 N! O" I5 w$ K

        if(preg_match("/^(php|phtml|php3|php4|jsp|exe|dll|cer|shtml|shtm|asp|asa|aspx|asax|ashx|cgi|fcgi|pl)$/i", $this->ext)) return false; ' R8 L6 o* S$ e

) a7 h2 G9 K. t3 C: j8 w/ O/ {         return true;

- o4 C' Q% x6 d1 {- d

; K& ?" u; [& z/ [# A     }

! R1 S& Q5 h5 c# P* R

可以看到这里仅仅对$this->ext进行了检查，如前此时$this->ext为jpg，检查通过。 : f* y* l3 Z% `& N$ U: k6 q" I4 d

接着会进行真正的保存。通过$this->set_savepath($this->savepath); $this->set_savename($this->savename);设置了$this->saveto，然后通过move_uploaded_file($this->file, DT_ROOT.'/'.$this->saveto)将file保存到$this->saveto ，注意此时的savepath、savename、saveto均以php为后缀，而$this->file实际指的是第二个jpg文件。

漏洞利用

; d) Z/ X" f& M 综上，上传两个文件，其中第一个文件以php为结尾如1.php，用于设置后缀名为php；第二个文件为1.jpg，jpg用于绕过检测，其内容为php一句话木马(图片马)。 . O/ D% U% ?3 S/ o! K4 B- @4 H

  6 r/ |" P% `8 p' A( h6 C

然后访问http://127.0.0.1/file/temp/avatar1.php 即可。其中1是自己的_userid

! n- G4 x- d2 m- G 不过实际利用上会有一定的限制。 - S c Q a& u' e1 c9 m9 f" ^

1 V% [5 V2 j% n9 _: S# _2 ^

第一点是destoon使用了伪静态规则，限制了file目录下php文件的执行。 ( U, Q% t' I; }' H" w R

  $ A O* v; t5 B) [ Y! {

$ O$ W! T# m! |/ Z6 G# W 第二点是avatar.inc.php中在$upload->save()后，会再次对文件进行检查，然后重命名为xx.jpg：

! U0 l# ~- R- L5 D 省略...$img = array();$img[1] = $dir.'.jpg';$img[2] = $dir.'x48.jpg';$img[3] = $dir.'x20.jpg';$md5 = md5($_username);$dir = DT_ROOT.'/file/avatar/'.substr($md5, 0, 2).'/'.substr($md5, 2, 2).'/_'.$_username;$img[4] = $dir.'.jpg';$img[5] = $dir.'x48.jpg';$img[6] = $dir.'x20.jpg';file_copy($file, $img[1]);file_copy($file, $img[4]);省略...

" N5 J; V$ Y6 H6 M 因此要利用成功就需要条件竞争了。 . C4 K8 H$ T; g/ ~6 H% E j- I8 c& o

补丁分析 8 [1 V3 ~- Q: n5 q" M" B5 r; x

1 Q" Z# Q6 k& @/ K+ k9 L! a1 l5 u   0 E6 K2 n$ i8 w3 P+ G! V

' A# ^: _0 o4 f# c" G$ o* g

在upload的一开始，就进行一次后缀名的检查。其中is_image如下：

* o% J4 r8 v" [. b4 |/ C$ W. e

function is_image($file) {    return preg_match("/^(jpg|jpeg|gif|png|bmp)$/i", file_ext($file));}

 

在__construct()的foreach中使用了break，获取了第一个文件后就跳出循环。

! D1 F& }+ K' F( W U8 y. k" ?

在is_allow()中增加对$this->savename的二次检查。

% y& s% P/ x* \& \ 最后

5 e' y3 i$ ?( J! h4 C

嘛，祝各位大师傅中秋快乐！

8 K; b+ O: q; O2 F

: D, P. m) a1 Q3 G" x. U   2 Y* k4 Q. \# ]# k$ M7 O& m+ r* h