Destoon cms前台getwebshell

admin

M) |$ |& m* ?

前言

0 O. s f+ K9 K! S# d

2018年9月21日，Destoon官方发布安全更新，修复了由用户“索马里的海贼”反馈的一个漏洞。

) a9 ^! |. X1 n

 

& X5 ?+ H5 p# _4 T

漏洞分析

# ]2 ?; w# F! E. i: H. W

根据更新消息可知漏洞发生在头像上传处。Destoon中处理头像上传的是 module/member/avatar.inc.php 文件。在会员中心处上传头像时抓包，部分内容如下： 2 C8 x* y6 u. j7 n- g, O2 `+ t

! w+ S* w/ c+ c0 A4 W  

对应着avatar.inc.php代码如下：

. j: y& K, [/ L! M4 b6 B" D9 S <?php defined('IN_DESTOON') or exit('Access Denied');login();require DT_ROOT.'/module/'.$module.'/common.inc.php';require DT_ROOT.'/include/post.func.php';$avatar = useravatar($_userid, 'large', 0, 2);switch($action) { ' |( Y3 u |: q2 y

2 f# n9 x" y; d( L; t+ ^7 b. e     case 'upload': " d% O$ W( U# o

& ?, A, |# |( |0 ?         if(!$_FILES['file']['size']) { 7 x( S' P) b8 {( P H- V t

, S5 S6 ?) a% t7 e9 k& K# s& g

            if($DT_PC) dheader('?action=html&reload='.$DT_TIME); 8 X3 Z& k+ z7 u+ ?5 X+ F" k* I

            exit('{"error":1,"message":"Error FILE"}'); . \$ w1 M' @0 m1 p. a) f

, a: {- O( Q6 K1 k; D

+ K1 @: o# y0 P         }

2 ]. n1 y& r1 z6 H         require DT_ROOT.'/include/upload.class.php';

! x1 v4 \" K, k6 c& c; @

 

3 v9 O% H) r$ {3 ?4 w         $ext = file_ext($_FILES['file']['name']); ; B+ U+ Y8 F4 r. n

8 t" q& Q, m7 F& C& L1 I( v9 `, n p

! A! E' p3 k8 e0 m) d1 D$ ~, C+ T         $name = 'avatar'.$_userid.'.'.$ext; / w) {& X$ f0 l1 e- N5 q

- q0 i$ g9 K: R5 u/ T8 J         $file = DT_ROOT.'/file/temp/'.$name; , l& S2 d5 K$ o# s: G0 {9 Z

4 `& \) m v# H3 `# `' @/ O7 ~

; g. R1 a+ ]. w9 F) f   8 d/ r3 [% r2 j# N8 v' X

        if(is_file($file)) file_del($file); ( `& g( J1 ~+ C' [+ j

+ b/ S5 ? Y4 h         $upload = new upload($_FILES, 'file/temp/', $name, 'jpg|jpeg|gif|png');

/ h3 {# |' p6 ^9 D: o

 

- V1 \! [/ X# a/ w5 l

6 d& j# B o' D1 b         $upload->adduserid = false; 0 X4 X; y9 a6 g7 B& A

 

8 ?( q+ y8 E( {

        if($upload->save()) { 8 G; f+ A0 A( b% Y. Z" }2 J) p! b

U5 Q: p# V" s* @

% P( b0 D# E3 I) `! j4 ?             ... 7 i0 w& D5 ]; {) }4 X" x

3 s* c* e$ |( K2 Q8 t8 u! q

! f; Z' m/ W4 F+ x         } else {

) A8 [& t! Z$ J$ p7 g; J

& p2 k1 L* R; E; B: r             ...

        } 8 t6 D6 h& U' S: c7 [

3 |( M! f" i3 e1 R f6 s: ]

    break;

这里通过$_FILES['file']依次获取了上传文件扩展名$ext、保存临时文件名$name、保存临时文件完整路径$file变量。之后通过new upload();创立一个upload对象，等到$upload->save()时再将文件真正写入。

upload对象构造函数如下，include/upload.class.php:25： 8 r- T( [, M/ W; B/ P( H

8 ? X- i3 N! \0 t) u# a8 I/ O

<?phpclass upload { + `( Q+ _) U. ]/ j

7 b% n0 f, ^# e% x% e/ U5 I9 q

    function __construct($_file, $savepath, $savename = '', $fileformat = '') {

) G) ^1 A/ Y$ w+ N7 q

* a& r+ O5 E/ L+ i: O5 g         global $DT, $_userid; . A4 o! q* X# R0 x

' }: ~+ M4 d% h+ d: W. L8 A

        foreach($_file as $file) {

            $this->file = $file['tmp_name']; 9 I" B+ ^3 X2 w/ Z: o: P

# u/ E6 D# t7 |$ F3 m

            $this->file_name = $file['name']; & V: W4 P; r! X& [4 p! g5 x) v

            $this->file_size = $file['size']; 6 ]( A1 O9 B4 S3 x; o6 f

$ j4 ~2 j7 g+ A! `/ ]/ U             $this->file_type = $file['type']; " v: K. q5 t4 I

9 ^9 Y, M9 k/ k

            $this->file_error = $file['error'];

$ c O8 i& `; Q) M7 c! r

 

7 C6 q! J3 n6 t0 x! K! X2 O

( E f- p4 K+ {& Q" m5 k( j+ q% n         } 6 p2 S; F z) |2 H( e

! ~+ ^4 T2 c( h) C0 C' t. D

        $this->userid = $_userid; ) w4 \; v# B$ h/ R2 U! j) p4 ?

( Q$ H/ n! T2 q4 ~& U8 H         $this->ext = file_ext($this->file_name);

' ^* G+ ~8 Y5 z& T         $this->fileformat = $fileformat ? $fileformat : $DT['uploadtype']; : X7 `- m6 m4 Y: D! r+ `

) q+ O) [: O6 j2 z6 ]8 g# |         $this->maxsize = $DT['uploadsize'] ? $DT['uploadsize']*1024 : 2048*1024; / N, d8 v* u2 M7 X3 q- F

$ C4 w. [/ D. O4 o' @9 o         $this->savepath = $savepath; 4 X8 k4 I$ w4 n6 N

3 |( Z0 C1 U9 `7 H/ B         $this->savename = $savename; ; P, y0 ~2 w3 I5 o- T6 x' N

3 e4 \: U' @; D: Q) @     }} * D" N; b' `7 b/ {' A; ?% A! S

U( i: q: L1 ^( Q& v

6 {) g* e- T: h1 a) R( K 这里通过foreach($_file as $file)来遍历初始化各项参数。而savepath、savename则是通过__construct($_file, $savepath, $savename = '', $fileformat = '')直接传入参数指定。

7 F6 R* @4 d& p; U7 S 因此考虑上传了两个文件，第一个文件名是1.php，第二个文件是1.jpg，只要构造合理的表单上传（参考：https://www.cnblogs.com/DeanChopper/p/4673577.html），则在avatar.inc.php中

$ext = file_ext($_FILES['file']['name']); // `$ext`即为`php` $name = 'avatar'.$_userid.'.'.$ext; // $name 为 'avatar'.$_userid.'.'php'$file = DT_ROOT.'/file/temp/'.$name; // $file 即为 xx/xx/xx/xx.php ( F/ L2 p( {$ z* F

) M) z# m' }0 F. j

而在upload类中，由于多个文件上传，$this->file、$this->file_name、$this->file_type将foreach在第二次循环中被置为jpg文件。测试如下： / _5 W n, Y( h& Y, J' Z; |. [ T

1 {# f& d" n7 f- L8 P; J4 a

; X" S9 ]' \2 H4 X: A2 E   ) n8 Y0 E+ v( S# x

1 d8 r) _8 U8 T1 T$ x! D 回到avatar.inc.php，当进行文件保存时调用$upload->save()，include/upload.class.php:50:

+ w, F& F$ h$ e) a) x <?phpclass upload {

! i. C! A U1 i' f% h     function save() {

( l5 v$ j0 V+ V9 h3 H. u! g( A

0 e4 T, L) G i         include load('include.lang'); 2 J3 [, e5 c7 p+ g

$ x8 }; Z, W4 i3 }& |0 J         if($this->file_error) return $this->_('Error(21)'.$L['upload_failed'].' ('.$L['upload_error_'.$this->file_error].')'); 2 d; R4 d9 d4 r( P% B

 

6 _6 U. }* J; g2 |         if($this->maxsize > 0 && $this->file_size > $this->maxsize) return $this->_('Error(22)'.$L['upload_size_limit'].' ('.intval($this->maxsize/1024).'Kb)');

  " G) P/ e. r: W" \9 [

/ A" Y- R2 P9 a$ ]7 E) I8 |

        if(!$this->is_allow()) return $this->_('Error(23)'.$L['upload_not_allow']);

  ( l- O& }; t) s6 g5 \9 _" M

3 P# h0 Z2 {. N- Z. ]8 z! N1 W9 j         $this->set_savepath($this->savepath); $ K( B( B9 w3 }% a3 _* R+ R

0 u* T9 x/ G- V( K4 o8 e; L+ U0 l3 Y         $this->set_savename($this->savename); - U: I1 B& P1 ]

+ G+ Z6 Z2 |$ X0 ~  

        if(!is_writable(DT_ROOT.'/'.$this->savepath)) return $this->_('Error(24)'.$L['upload_unwritable']);

! p* N, {* k7 x5 i! b2 _

: d+ s7 O$ c* {; S! Y         if(!is_uploaded_file($this->file)) return $this->_('Error(25)'.$L['upload_failed']);

        if(!move_uploaded_file($this->file, DT_ROOT.'/'.$this->saveto)) return $this->_('Error(26)'.$L['upload_failed']);

 

        $this->image = $this->is_image(); ) } Q" a7 ]. Q5 v1 h3 b4 H: q

) z( m/ c4 ~# i) G& Z

        if(DT_CHMOD) @chmod(DT_ROOT.'/'.$this->saveto, DT_CHMOD); & j4 l. l3 U: t- R+ M

4 P; c e: }; i* q( Q, V

        return true; 2 k9 C4 `4 K; Z7 a% N! v2 w& ?

B1 m& O+ r1 ?9 E& i9 B8 B

7 \- a0 {- A2 w+ q5 m$ Q/ `! p     }}

先经过几个基本参数的检查，然后调用$this->is_allow()来进行安全检查 include/upload.class.php:72： 3 j" z9 ]$ a- y- h

<?php

! y( z( J- Q5 x7 g

    function is_allow() { ) k' }% u9 u2 Q/ G

3 H9 A/ |3 X. J* V! E' l

# _, A+ [" D8 i! F! ]         if(!$this->fileformat) return false;

5 T- K- n0 c* A5 B) y

2 X$ L. e1 z. ?# w0 E         if(!preg_match("/^(".$this->fileformat.")$/i", $this->ext)) return false;

        if(preg_match("/^(php|phtml|php3|php4|jsp|exe|dll|cer|shtml|shtm|asp|asa|aspx|asax|ashx|cgi|fcgi|pl)$/i", $this->ext)) return false;

        return true; 1 Q; \" R' q# y7 t9 W# V& i

    } 6 @6 H% S, C! M* m: T) d

) }! O9 ]1 p" q- J" o

; W' e2 T8 P. W: ] 可以看到这里仅仅对$this->ext进行了检查，如前此时$this->ext为jpg，检查通过。

) b1 m* A! O& x- _' y; X

接着会进行真正的保存。通过$this->set_savepath($this->savepath); $this->set_savename($this->savename);设置了$this->saveto，然后通过move_uploaded_file($this->file, DT_ROOT.'/'.$this->saveto)将file保存到$this->saveto ，注意此时的savepath、savename、saveto均以php为后缀，而$this->file实际指的是第二个jpg文件。 4 }& e$ a3 B% W B

( J3 O4 a; e( }1 j9 j, P) G( a2 }& z. Q 漏洞利用 $ o$ K. P p6 l9 l0 ]( @

/ [4 T, `% E* W; r

综上，上传两个文件，其中第一个文件以php为结尾如1.php，用于设置后缀名为php；第二个文件为1.jpg，jpg用于绕过检测，其内容为php一句话木马(图片马)。 " [3 N: V( D/ l- ^3 P5 S

) z$ r# |, u9 R* S" h* ^8 I

9 q; b$ n3 |% B) L. X  

然后访问http://127.0.0.1/file/temp/avatar1.php 即可。其中1是自己的_userid

# K1 I" Z% ~! L1 a" R0 }1 M 不过实际利用上会有一定的限制。

第一点是destoon使用了伪静态规则，限制了file目录下php文件的执行。 1 a) a5 [, U3 C1 O* P

  $ f! r! j3 h) F- d) L" R

0 ?! g# f& Q, G4 `( _

第二点是avatar.inc.php中在$upload->save()后，会再次对文件进行检查，然后重命名为xx.jpg：

$ [4 W8 ~$ o0 A! S0 S$ m; }

4 g' u' p0 ?+ ]! w& P0 {, G0 v- j7 R 省略...$img = array();$img[1] = $dir.'.jpg';$img[2] = $dir.'x48.jpg';$img[3] = $dir.'x20.jpg';$md5 = md5($_username);$dir = DT_ROOT.'/file/avatar/'.substr($md5, 0, 2).'/'.substr($md5, 2, 2).'/_'.$_username;$img[4] = $dir.'.jpg';$img[5] = $dir.'x48.jpg';$img[6] = $dir.'x20.jpg';file_copy($file, $img[1]);file_copy($file, $img[4]);省略...

因此要利用成功就需要条件竞争了。

) I& A4 s# T/ ~3 q, q4 |7 A 补丁分析

1 Z3 J6 G) E# M   ) E6 F* S+ s! g! `) h

4 C+ r+ }2 B+ f) \

+ T$ [; t D2 r& A b' p 在upload的一开始，就进行一次后缀名的检查。其中is_image如下： ( y- `' z6 p2 d9 W

3 s' w! q" Y. `) t, s. Q

3 S# X& y' y* |9 |' i6 ? function is_image($file) {    return preg_match("/^(jpg|jpeg|gif|png|bmp)$/i", file_ext($file));}

8 w0 N9 b: F8 A- p3 y

  3 N( f+ [: V7 x8 Y

) ]7 { y" G/ }7 E

% M" e9 j3 Z5 L 在__construct()的foreach中使用了break，获取了第一个文件后就跳出循环。

在is_allow()中增加对$this->savename的二次检查。

9 ?0 x2 j( t( ~4 c

; G7 T+ ~; J E% _( l& a7 q7 } 最后

~7 n0 q/ ]2 J9 f$ O8 d

嘛，祝各位大师傅中秋快乐！ & @* ^8 x6 g, Y

7 n6 j5 u5 n* N2 g* ~- H$ a4 V