Destoon cms前台getwebshell

admin

8 b/ P' |) f* B3 ^

" S4 r5 J* |( P R) y 前言 - E9 V# J7 [6 f

" M- O, J) w& I5 l- n+ E% s

6 }& w) z; ~" p 2018年9月21日，Destoon官方发布安全更新，修复了由用户“索马里的海贼”反馈的一个漏洞。 & ~0 c" ` y7 M1 ]6 d

|& u% o4 G! H8 R6 d0 U

! m. [- o( f# M6 C% ~/ p2 k' i* _  

! S$ M" M4 m3 ^' t: d% T) I 漏洞分析 " u! ~% S3 L5 L

根据更新消息可知漏洞发生在头像上传处。Destoon中处理头像上传的是 module/member/avatar.inc.php 文件。在会员中心处上传头像时抓包，部分内容如下： . v+ k: b. {4 G$ D

 

V3 X/ o* F4 W8 q& P6 B

对应着avatar.inc.php代码如下：

' }' I3 U3 v- y1 z8 K

<?php defined('IN_DESTOON') or exit('Access Denied');login();require DT_ROOT.'/module/'.$module.'/common.inc.php';require DT_ROOT.'/include/post.func.php';$avatar = useravatar($_userid, 'large', 0, 2);switch($action) {

. W( s* R! R. q     case 'upload': ; n i/ {" I. S2 D, ]- V

        if(!$_FILES['file']['size']) {

0 p( O( g1 Y' A* {/ g% W

9 [" C1 d K) J$ H5 b0 }8 n7 u' S0 b             if($DT_PC) dheader('?action=html&reload='.$DT_TIME); 2 W O0 x0 N6 b

- g) ~6 Q9 n( |) v

            exit('{"error":1,"message":"Error FILE"}');

        }

q E9 N# q+ ]6 _9 }+ q         require DT_ROOT.'/include/upload.class.php'; B' F! ?$ S: g0 A6 h

/ r. G1 E. z/ B5 Q& G1 [

 

        $ext = file_ext($_FILES['file']['name']);

9 k |% u7 j+ @; V% F

) ~5 s/ b/ z& J7 a. j         $name = 'avatar'.$_userid.'.'.$ext;

8 u% F; Y" F4 |6 }% `' d' J

        $file = DT_ROOT.'/file/temp/'.$name; . _' ?' ~/ F2 p. K: E G

  $ {) L6 ]& p' {1 T& X B7 s& G' T

2 ~! `# c/ q, i# R# S         if(is_file($file)) file_del($file); - Z. u; E/ H8 z; H# W1 C

+ w$ q. J* v. t9 X8 n5 Z         $upload = new upload($_FILES, 'file/temp/', $name, 'jpg|jpeg|gif|png');

9 l- }( u7 q) B5 {

  4 L+ p( ?! i# f5 S5 k

        $upload->adduserid = false;

0 Q+ U& h7 R w! ]

  * ~; x9 h d7 c1 [4 I

2 l. ?; a- N1 }% ~( g

: \* }1 c Q9 b% W) N* K# H         if($upload->save()) {

7 w& [* n! l8 B7 f

            ... ; G; ]1 l1 c {3 M& i6 C

4 s0 L# _! c7 Y# j3 W

- s* Q: D+ M8 X( a( r) v! j         } else {

' J- r/ K) J) u- _+ {

$ E4 T; _1 k0 ?2 X, d7 q             ... + @9 N2 ~- W g5 z, O

+ X1 f' @/ T- A; S3 v) [3 g; @

* l8 o( G( v3 g3 S' k$ G! v6 l" G         }

    break;

+ Z1 p, J& Q- `% M- c0 r, @

* r# u: K1 _" h& y 这里通过$_FILES['file']依次获取了上传文件扩展名$ext、保存临时文件名$name、保存临时文件完整路径$file变量。之后通过new upload();创立一个upload对象，等到$upload->save()时再将文件真正写入。 & F* a2 K! [" {/ t0 Z$ E

upload对象构造函数如下，include/upload.class.php:25： 5 P* Y, J- ?6 [$ m0 y

/ O0 f' x! D* I( I

<?phpclass upload {

3 a% f; w, n" e$ k5 u

    function __construct($_file, $savepath, $savename = '', $fileformat = '') { 1 L/ ]% N7 k( y6 j2 d; x! ?! a

/ u }+ W9 r" q+ ]         global $DT, $_userid;

        foreach($_file as $file) {

$ F' k/ B6 Z: ^. q8 C3 n+ u" P             $this->file = $file['tmp_name'];

7 R1 n }, R1 R0 S

            $this->file_name = $file['name'];

+ {- a' S8 j# s; |; y# L# w

8 b7 {: T# j$ W             $this->file_size = $file['size']; 0 l: W5 i* j3 K; M. |; p% y

% [- p/ U3 t8 ?' {$ H# h             $this->file_type = $file['type'];

& S* \( ]. s& {5 u. F, o

            $this->file_error = $file['error'];

$ e: l c6 s) B1 w   + H- U ^- t+ V: u, A+ v4 \# ]% I$ E* J

. q" S: S7 P ^

        } f4 p5 ^6 p% W% I& Q4 Q

( k+ a- ^. m6 w4 R! \; A

        $this->userid = $_userid; , A2 w2 c) r# `. |8 H- F

        $this->ext = file_ext($this->file_name); 5 g# z; j" n, N. E6 k+ V; |

2 |) E5 y5 Z7 g3 W         $this->fileformat = $fileformat ? $fileformat : $DT['uploadtype']; ; L- {% d0 U- c8 w

" y5 e' [* Z8 _7 z" B5 O0 Q4 R o

6 D/ L2 v3 ^$ `$ @+ `- e         $this->maxsize = $DT['uploadsize'] ? $DT['uploadsize']*1024 : 2048*1024; & U, v( E2 q: W

        $this->savepath = $savepath;

% F2 o" G2 T; O4 F7 l) m: Z         $this->savename = $savename; 8 {4 t; f+ O' G" G% E$ r" h

- v& ~' X& I6 a( o2 e

J a3 {9 E% V" m     }} * C) X1 \) }8 V

8 n+ B% j* k P+ {

8 ~+ |0 t, R: V! q) d/ { 这里通过foreach($_file as $file)来遍历初始化各项参数。而savepath、savename则是通过__construct($_file, $savepath, $savename = '', $fileformat = '')直接传入参数指定。

因此考虑上传了两个文件，第一个文件名是1.php，第二个文件是1.jpg，只要构造合理的表单上传（参考：https://www.cnblogs.com/DeanChopper/p/4673577.html），则在avatar.inc.php中

4 q* C5 x' a7 u& @

7 q0 k& O! D8 @5 M2 Q8 Z $ext = file_ext($_FILES['file']['name']); // `$ext`即为`php` $name = 'avatar'.$_userid.'.'.$ext; // $name 为 'avatar'.$_userid.'.'php'$file = DT_ROOT.'/file/temp/'.$name; // $file 即为 xx/xx/xx/xx.php - d- U0 b, C9 y+ {& _- h" G

5 I6 b- F5 a$ E @" R 而在upload类中，由于多个文件上传，$this->file、$this->file_name、$this->file_type将foreach在第二次循环中被置为jpg文件。测试如下： 3 s! |; |+ R: g* A7 W; C

2 F! c8 \7 q0 e# m8 W/ t

$ ?" {. L/ B/ E4 J' \ m  

% ~9 Y+ {/ N" o U5 l5 e

# F" x2 P) L" }& b 回到avatar.inc.php，当进行文件保存时调用$upload->save()，include/upload.class.php:50: $ M3 f0 d; X) T D' H/ Y% |

<?phpclass upload {

$ j5 @: U' H' d8 U

1 i0 T! k: m: C% a* {4 O     function save() {

& i9 @0 Z- K: K2 P7 U         include load('include.lang');

5 s, e1 ~5 D7 \- D6 e

        if($this->file_error) return $this->_('Error(21)'.$L['upload_failed'].' ('.$L['upload_error_'.$this->file_error].')'); ! M2 \" j& ?% T6 ?

7 z! L6 ?; `2 V9 H6 ?  

/ \" s6 Y3 z; E/ Q& R5 m9 @

        if($this->maxsize > 0 && $this->file_size > $this->maxsize) return $this->_('Error(22)'.$L['upload_size_limit'].' ('.intval($this->maxsize/1024).'Kb)');

, g0 m- u+ k' D- P" n

9 P7 J. C9 N' X   * _: A% a! z; k

, n9 q D3 v3 t/ s' }! c

. E+ T8 @: `' _6 B& ?         if(!$this->is_allow()) return $this->_('Error(23)'.$L['upload_not_allow']); 7 F8 @+ {6 {3 G0 j2 i: _3 d

0 U, Q4 p& E6 S: z& ^) W2 V

6 Q5 p: w9 w0 m3 u2 Y& G% M# H   , u0 Q4 R. N+ S# l

        $this->set_savepath($this->savepath); % t) Z0 L- ^4 [0 W3 b/ M8 A9 u

?( q7 Z; O$ ]# W6 p

        $this->set_savename($this->savename);

5 o, K& @# J% Y+ U7 Y

 

+ ~9 i5 f) F" q& [2 z% X

        if(!is_writable(DT_ROOT.'/'.$this->savepath)) return $this->_('Error(24)'.$L['upload_unwritable']); ' K8 A9 T/ z8 u3 j3 @' H

; ~1 V8 U4 b( `# ~$ j1 S

- e+ n% u( T' r7 {( B7 Y         if(!is_uploaded_file($this->file)) return $this->_('Error(25)'.$L['upload_failed']);

& a7 ]" {+ h; c4 i& b' J4 T6 J         if(!move_uploaded_file($this->file, DT_ROOT.'/'.$this->saveto)) return $this->_('Error(26)'.$L['upload_failed']);

. D: I6 l8 k3 Z' R* Y& W

l/ y. o ~4 q e+ I. y0 t; u  

        $this->image = $this->is_image();

& v/ L8 |# ^/ `4 x2 Y0 H         if(DT_CHMOD) @chmod(DT_ROOT.'/'.$this->saveto, DT_CHMOD);

% D$ A- V3 b7 D- \$ g

        return true;

: E& p9 o' b( s3 U

    }}

( y* |" \+ B0 ]! v+ P 先经过几个基本参数的检查，然后调用$this->is_allow()来进行安全检查 include/upload.class.php:72：

5 y0 H! f" `+ f

8 H( c; E( R6 j; o6 [9 Q% Z <?php

F* n/ |2 ~& ~4 ~ B

+ r) G: W# t( I6 t$ `( M; D' }. u- ^     function is_allow() { * P1 {3 C4 d `$ b5 Z0 ]

Z4 e# S1 U1 j

, q( K5 Y3 g; F& f4 U- L# P         if(!$this->fileformat) return false;

        if(!preg_match("/^(".$this->fileformat.")$/i", $this->ext)) return false; ( i4 Q1 @, d# C/ q% P0 n6 Q

* c5 T% }! I9 B. [

: a1 | i5 _7 x         if(preg_match("/^(php|phtml|php3|php4|jsp|exe|dll|cer|shtml|shtm|asp|asa|aspx|asax|ashx|cgi|fcgi|pl)$/i", $this->ext)) return false; / r0 n8 z4 k8 s9 Y+ N1 t5 ^6 r

: S2 `& w: T B7 u$ q$ p

        return true;

* [5 E6 A0 h; l% O

5 x9 a+ j+ ~! W# F4 I* h     }

1 L6 L$ Z- X( _& c, A3 U) e! Z

6 o1 v* J8 I( B* h' H; C: |% ?: J 可以看到这里仅仅对$this->ext进行了检查，如前此时$this->ext为jpg，检查通过。

; F& K3 y, j! l

接着会进行真正的保存。通过$this->set_savepath($this->savepath); $this->set_savename($this->savename);设置了$this->saveto，然后通过move_uploaded_file($this->file, DT_ROOT.'/'.$this->saveto)将file保存到$this->saveto ，注意此时的savepath、savename、saveto均以php为后缀，而$this->file实际指的是第二个jpg文件。 3 j5 K' R. Q* M. d/ _

! o0 G- a0 e& q9 _' \, O3 C

b6 V! o5 P0 j u5 [9 s 漏洞利用

综上，上传两个文件，其中第一个文件以php为结尾如1.php，用于设置后缀名为php；第二个文件为1.jpg，jpg用于绕过检测，其内容为php一句话木马(图片马)。

& E, {" \) G$ L: p! Q: I

 

% v% H Q5 {# H

& ~8 G3 N$ F" l, {% b# O 然后访问http://127.0.0.1/file/temp/avatar1.php 即可。其中1是自己的_userid / K4 D7 h- t# X+ A

/ C: |* D) F, l1 ^8 q5 i1 F e 不过实际利用上会有一定的限制。

第一点是destoon使用了伪静态规则，限制了file目录下php文件的执行。

) B6 u6 Y9 q4 L6 x: L

 

第二点是avatar.inc.php中在$upload->save()后，会再次对文件进行检查，然后重命名为xx.jpg： # T2 L& t* I6 W' W J) l; X% t

省略...$img = array();$img[1] = $dir.'.jpg';$img[2] = $dir.'x48.jpg';$img[3] = $dir.'x20.jpg';$md5 = md5($_username);$dir = DT_ROOT.'/file/avatar/'.substr($md5, 0, 2).'/'.substr($md5, 2, 2).'/_'.$_username;$img[4] = $dir.'.jpg';$img[5] = $dir.'x48.jpg';$img[6] = $dir.'x20.jpg';file_copy($file, $img[1]);file_copy($file, $img[4]);省略... % F3 {) M( ?$ A" m5 B

* W# Z6 O( H. H8 f( B2 }0 x 因此要利用成功就需要条件竞争了。

补丁分析 3 p1 {+ L$ B( F

  7 X& d1 T( T4 Z

; d' ?! o8 k0 C3 o. `

, \7 z5 w% q! \) o# i& J; {, m' P( c 在upload的一开始，就进行一次后缀名的检查。其中is_image如下： 9 k# Q# {' P& u8 b3 y

# D* M+ ?: g$ W5 ^0 V

function is_image($file) {    return preg_match("/^(jpg|jpeg|gif|png|bmp)$/i", file_ext($file));} - {; A$ h5 T: {1 }, g5 o

2 O) j# G1 v) t, r! w

: |) Q. m" \0 d: P) c  

. r5 s5 m" z8 X; r( E0 K! N* T$ [* p 在__construct()的foreach中使用了break，获取了第一个文件后就跳出循环。 $ ?' R* q, S+ x" a8 L$ Z. P! }5 i

7 ?$ \' V; @1 _, p# k

' A8 `* F! @/ z! s9 O 在is_allow()中增加对$this->savename的二次检查。 n9 L% b1 W8 [: p

- I/ v6 S& \; }1 k( v X* D

$ `# l/ v: o7 ^* Q4 c1 Y6 ] 最后

嘛，祝各位大师傅中秋快乐！ v2 c" ]" p. W( v5 Y: n' p: D

( w" ~2 o. B# Z" H. H) Z7 l7 x( D