Destoon cms前台getwebshell

admin

' o/ ], \" I! G5 X6 }- s* I1 _

1 h. }& j( U* W

; x7 Z9 o6 j, ?* a& r1 Z 前言 ' s: L! Z% j m0 Z. G; w

7 K+ a" n0 s* k0 W" g( c 2018年9月21日，Destoon官方发布安全更新，修复了由用户“索马里的海贼”反馈的一个漏洞。 : ?4 |/ k0 l/ {: R, p! m

# x: r1 h; ^6 o4 ~' C# \3 `1 p/ m  

4 K2 c+ G4 N1 F) w0 H" `6 |

; @1 d* n7 J) I0 `. c* f6 f 漏洞分析 2 o8 P$ b1 y/ D R: w" F1 F

根据更新消息可知漏洞发生在头像上传处。Destoon中处理头像上传的是 module/member/avatar.inc.php 文件。在会员中心处上传头像时抓包，部分内容如下：

# K3 b7 c% t! |

  , ]5 v$ G' D% z8 r( e# ]

对应着avatar.inc.php代码如下：

<?php defined('IN_DESTOON') or exit('Access Denied');login();require DT_ROOT.'/module/'.$module.'/common.inc.php';require DT_ROOT.'/include/post.func.php';$avatar = useravatar($_userid, 'large', 0, 2);switch($action) {

5 k% e! z1 S9 \. B9 {

    case 'upload':

+ I" Q1 R0 x0 f8 y2 B5 {% a

        if(!$_FILES['file']['size']) {

9 K! a. s6 f# R

            if($DT_PC) dheader('?action=html&reload='.$DT_TIME); u- u) W8 I& _3 P

; |4 D" C% m) y5 m7 h& ?

            exit('{"error":1,"message":"Error FILE"}'); ) W$ ~" G+ w5 @; {+ p+ |

4 Q2 i. H8 R7 u, O# [- S; n8 x

        } 8 y+ P* h0 ?3 \) K+ l" M

% k; ~) n3 Y. g7 C- E5 `

7 V) Y3 z" ~" Y8 i6 Q8 _         require DT_ROOT.'/include/upload.class.php'; 4 A. I* A. l+ R8 V% w& Q

6 q1 ^/ ]$ \; e" e. D E  

. t3 K( T% \* T! o# O8 z         $ext = file_ext($_FILES['file']['name']); % m% R' c, \2 W E% h, |. a$ ?

: [! s8 h0 c+ i7 H1 |2 |9 G         $name = 'avatar'.$_userid.'.'.$ext; % X# a6 d3 s3 U" i6 d, s

' a6 J3 ~. d( T+ t

- {. m& B+ S) B' A' J         $file = DT_ROOT.'/file/temp/'.$name; ; m8 c T' G) e% Q5 ~! J/ {

: Y8 q& r9 c, {: ^

8 p/ j& @- h! x& G+ g. F   . s6 ~ Z9 q0 Q; v" }" G

8 ~/ e2 g# q2 G/ t( T! {         if(is_file($file)) file_del($file); $ h7 U8 i, t" g; a) k$ F4 P% v1 y) n

4 Y& G; e+ h- c5 p

! H' }5 W5 t& a, Y; f) i5 R         $upload = new upload($_FILES, 'file/temp/', $name, 'jpg|jpeg|gif|png'); & M* j' m* c/ E: X' r

 

, O7 y2 @; k# W6 V" r1 [9 t/ {

        $upload->adduserid = false; $ {& W$ W# M$ X& K; o0 u- R7 o, i9 y

) A, q" { r, h% M' U. c

  , _8 n' V) _, y" y l4 K$ \- Z- ^

        if($upload->save()) {

7 E* v& X+ V! c* Q5 G3 n' c

            ...

* F. H/ z& s8 X( d! [

        } else { 7 q+ ^' l K. J" Z+ Y' ]

            ...

        } 8 d9 l9 P" D4 Z9 K, j

    break; " t4 w: O& T F+ v

" `5 V* j b" s5 |

这里通过$_FILES['file']依次获取了上传文件扩展名$ext、保存临时文件名$name、保存临时文件完整路径$file变量。之后通过new upload();创立一个upload对象，等到$upload->save()时再将文件真正写入。 + Y9 `6 ?) ?; o; L a( H

# x. y0 p! v; P9 a6 L

upload对象构造函数如下，include/upload.class.php:25：

4 r0 {' O* u* z4 G0 T& {! A% l

<?phpclass upload { 2 g" Y8 h+ q+ h' n

; |! t: d |* k9 O! }# Z

    function __construct($_file, $savepath, $savename = '', $fileformat = '') { ; q. `0 |# m$ j6 ]! u+ ]+ z

5 Y; Y' S' @9 |" a         global $DT, $_userid;

$ Y% o1 y) I# r$ q" f

        foreach($_file as $file) { , i# m( Z5 r& D3 q7 G- L

            $this->file = $file['tmp_name'];

            $this->file_name = $file['name'];

m2 E& @% @% f Q             $this->file_size = $file['size'];

- \0 S+ z2 R$ A( Y( J B5 z* Q N' {             $this->file_type = $file['type']; . d( p n! A: j6 H! |0 ?

            $this->file_error = $file['error'];

/ Q" w" H+ t6 ^. o$ X

  e+ k; n) A$ q

# p% h2 ~ j4 Q+ ~. p

        } $ O. I$ b) N' ^2 Z' E( G8 v' E

1 j0 ?$ Z% m+ R5 F

        $this->userid = $_userid; ) g: } I( J7 T0 \9 Y3 O

        $this->ext = file_ext($this->file_name); " c, N- n# ~+ v" B3 b) t- y' R

6 ?! I) R6 q4 N9 g0 s/ W5 c1 r, W) m

9 @% N" t0 G' }+ y5 u' X         $this->fileformat = $fileformat ? $fileformat : $DT['uploadtype']; 5 F$ q- \ P' W5 V

        $this->maxsize = $DT['uploadsize'] ? $DT['uploadsize']*1024 : 2048*1024;

- [0 P# v) S, F4 n3 a" z

        $this->savepath = $savepath; / L: B5 ?& B. ]: U; ^% w+ ]) `; W/ H

        $this->savename = $savename; 7 k0 T9 U+ H5 D- V/ v2 h3 Q

    }} 3 L4 X. R9 }- `4 p7 K

- g6 w$ M, @0 e7 Z6 p 这里通过foreach($_file as $file)来遍历初始化各项参数。而savepath、savename则是通过__construct($_file, $savepath, $savename = '', $fileformat = '')直接传入参数指定。 1 s/ g8 l6 R% ?- V

) ]9 w1 [+ g3 g/ F( R/ v& O, h

7 e6 y0 Z) J4 F& g0 v 因此考虑上传了两个文件，第一个文件名是1.php，第二个文件是1.jpg，只要构造合理的表单上传（参考：https://www.cnblogs.com/DeanChopper/p/4673577.html），则在avatar.inc.php中

B) i3 @. l& x/ x/ ? $ext = file_ext($_FILES['file']['name']); // `$ext`即为`php` $name = 'avatar'.$_userid.'.'.$ext; // $name 为 'avatar'.$_userid.'.'php'$file = DT_ROOT.'/file/temp/'.$name; // $file 即为 xx/xx/xx/xx.php 4 [( Z. L; a0 |6 ?

) O9 Z1 v% D6 n/ H$ S" h

* ]+ i/ a T! M 而在upload类中，由于多个文件上传，$this->file、$this->file_name、$this->file_type将foreach在第二次循环中被置为jpg文件。测试如下： 2 {! m3 [4 u6 s5 `; m0 i

  % n1 Q$ C2 o/ m1 e+ D, f

回到avatar.inc.php，当进行文件保存时调用$upload->save()，include/upload.class.php:50:

<?phpclass upload { 1 \# Z# f* ~% b4 ^3 a; B+ w! A

6 E5 k3 W( \# C$ e: c) a

    function save() { ' p+ I( K* S2 H: N" ?, E3 b; r

5 @. \$ U t( ^+ W/ c

        include load('include.lang'); ! o0 k1 h! B$ ]

' A/ F( [+ s& X0 ]) Q

        if($this->file_error) return $this->_('Error(21)'.$L['upload_failed'].' ('.$L['upload_error_'.$this->file_error].')');

- y7 a5 E% |: G- ~

  ' ^$ h, I( R `. w- _+ |* h

* ? k& }/ i1 e7 X; O

        if($this->maxsize > 0 && $this->file_size > $this->maxsize) return $this->_('Error(22)'.$L['upload_size_limit'].' ('.intval($this->maxsize/1024).'Kb)');

2 x, M2 ]6 y- W1 M/ j% Z ^4 v   ( m# i# R6 W) N' V$ J# q

D6 F, s8 e$ x4 A, q

A; ?. ], L9 ]! o, R         if(!$this->is_allow()) return $this->_('Error(23)'.$L['upload_not_allow']);

; u3 y7 P% C, Z- t: a

 

        $this->set_savepath($this->savepath);

        $this->set_savename($this->savename); 1 @0 @4 |3 g' K, ?( b, q/ E

8 q' a8 Q2 `$ h9 w2 ~+ `1 z

" d7 N: ~3 Y. k$ |; T% h  

. W, v* O* u9 m3 [! Q7 y9 x

6 }) q# G @+ K8 N) j* `* n         if(!is_writable(DT_ROOT.'/'.$this->savepath)) return $this->_('Error(24)'.$L['upload_unwritable']); 8 B3 j! z# `# ~0 \

        if(!is_uploaded_file($this->file)) return $this->_('Error(25)'.$L['upload_failed']); ' K* s \4 Y. B' G$ G: G1 `

; G: P' C! h7 U; }- \& ~         if(!move_uploaded_file($this->file, DT_ROOT.'/'.$this->saveto)) return $this->_('Error(26)'.$L['upload_failed']);

9 J% D8 Y) a, ^" s* K  

, y l+ a8 Z: Z& e2 A0 B         $this->image = $this->is_image();

        if(DT_CHMOD) @chmod(DT_ROOT.'/'.$this->saveto, DT_CHMOD); + O: {2 x l( `4 {

1 O5 q; k6 f0 w

! N/ e1 _0 C* f% S         return true;

/ \4 d d, v$ h S     }}

, x/ t" T* F s( f b2 A- p( Y) a, A0 N 先经过几个基本参数的检查，然后调用$this->is_allow()来进行安全检查 include/upload.class.php:72：

+ s4 F, e4 J0 m! h) t

+ }1 B9 R! Z- S& R/ v4 X! C4 h/ b# h2 o <?php . p$ W& P. g; O/ Y& m

    function is_allow() {

/ A+ j& |# I% H8 i; u8 v         if(!$this->fileformat) return false; 0 W+ S- W/ j! q U$ d- K

) k( L# z+ I8 i( b& ?         if(!preg_match("/^(".$this->fileformat.")$/i", $this->ext)) return false;

        if(preg_match("/^(php|phtml|php3|php4|jsp|exe|dll|cer|shtml|shtm|asp|asa|aspx|asax|ashx|cgi|fcgi|pl)$/i", $this->ext)) return false; ! V+ _( ~4 |2 b g

# O! ~5 f4 M8 C& @

0 h0 r; G! E" E( C1 ?         return true;

4 S9 z% U& e* W7 x/ O8 Y

6 f9 Y, g- l+ r9 D+ v" c2 e     }

% g/ ~5 c6 d; ^' t

可以看到这里仅仅对$this->ext进行了检查，如前此时$this->ext为jpg，检查通过。

$ n4 H8 S$ q7 r' F, v$ n; `% `

接着会进行真正的保存。通过$this->set_savepath($this->savepath); $this->set_savename($this->savename);设置了$this->saveto，然后通过move_uploaded_file($this->file, DT_ROOT.'/'.$this->saveto)将file保存到$this->saveto ，注意此时的savepath、savename、saveto均以php为后缀，而$this->file实际指的是第二个jpg文件。

: t& d5 g5 v) S% Y* R, |. x- f 漏洞利用 2 y9 [: p1 F) t0 b# ?! M

综上，上传两个文件，其中第一个文件以php为结尾如1.php，用于设置后缀名为php；第二个文件为1.jpg，jpg用于绕过检测，其内容为php一句话木马(图片马)。

  + w) \9 j4 T6 d) |8 o& E* C

/ A+ ]' S, K- `3 k

6 m+ C+ v- `6 ]+ O9 u 然后访问http://127.0.0.1/file/temp/avatar1.php 即可。其中1是自己的_userid

不过实际利用上会有一定的限制。

$ c; p0 @; |5 f+ n0 w

第一点是destoon使用了伪静态规则，限制了file目录下php文件的执行。 3 z s0 `! l/ V# O# b+ ?. Z1 {% K" t

8 c* s/ ?# y+ O, C$ V* Z

% P" p |2 i. L& T! V: n. M+ x; ?  

- m4 `6 x! E4 b7 x! e 第二点是avatar.inc.php中在$upload->save()后，会再次对文件进行检查，然后重命名为xx.jpg：

省略...$img = array();$img[1] = $dir.'.jpg';$img[2] = $dir.'x48.jpg';$img[3] = $dir.'x20.jpg';$md5 = md5($_username);$dir = DT_ROOT.'/file/avatar/'.substr($md5, 0, 2).'/'.substr($md5, 2, 2).'/_'.$_username;$img[4] = $dir.'.jpg';$img[5] = $dir.'x48.jpg';$img[6] = $dir.'x20.jpg';file_copy($file, $img[1]);file_copy($file, $img[4]);省略... 8 l9 U/ Y4 p( f2 `

因此要利用成功就需要条件竞争了。 * D& }, B5 z3 o

补丁分析

- v& i6 c1 G" D9 }' O0 ^) D" u% ]   1 q# ^, g7 Y9 j3 l' q& T

: F0 v4 M- \3 c

在upload的一开始，就进行一次后缀名的检查。其中is_image如下：

function is_image($file) {    return preg_match("/^(jpg|jpeg|gif|png|bmp)$/i", file_ext($file));}

 

在__construct()的foreach中使用了break，获取了第一个文件后就跳出循环。 9 {* r2 M( c4 {7 o

I. [7 P! S, q/ L t5 C4 `6 J! c' \ 在is_allow()中增加对$this->savename的二次检查。

" j8 x* v' o/ |1 j, b& H 最后 1 F! s0 J" y# L+ O* _# G

/ Y/ z) r/ ?/ w% O6 ~* _ 嘛，祝各位大师傅中秋快乐！

+ S! T. t1 l. K) l( b+ Q- n  

% q/ X8 {/ M: {* _4 m9 E8 P