Destoon cms前台getwebshell

admin

6 a/ Q2 U$ ^0 Q( q N) s

( `% j4 H% a, |! C# _% S1 `6 \3 \2 Y

$ U# l. I) g4 a3 Y% F

2 e5 Q1 u7 p7 {3 v; C0 y7 j |. X- n8 b; @ 前言

5 P% e X& B# ^$ Y

4 I M6 d/ `* o1 z. v% |, [ 2018年9月21日，Destoon官方发布安全更新，修复了由用户“索马里的海贼”反馈的一个漏洞。 0 E9 {1 R: P$ |+ H- E8 a

) R3 X ^0 m% \6 e  

漏洞分析

根据更新消息可知漏洞发生在头像上传处。Destoon中处理头像上传的是 module/member/avatar.inc.php 文件。在会员中心处上传头像时抓包，部分内容如下：

$ j5 t* i, C- W. K' F; y9 }

 

. V B5 |& n( Q$ u$ j3 E' o* } 对应着avatar.inc.php代码如下：

( `" W* n* }4 I- b <?php defined('IN_DESTOON') or exit('Access Denied');login();require DT_ROOT.'/module/'.$module.'/common.inc.php';require DT_ROOT.'/include/post.func.php';$avatar = useravatar($_userid, 'large', 0, 2);switch($action) { $ s# ~" R. {0 ^2 J

# g/ x1 t: X9 y

. v3 e% [- P" I* P+ j     case 'upload': 1 o3 m4 V& i% [& t( v) Z) ^

( n! \% a: h% A+ y

        if(!$_FILES['file']['size']) { / v* A0 E& ^; `0 P& F

            if($DT_PC) dheader('?action=html&reload='.$DT_TIME); 8 j7 S# h! |( e; e

" W/ M6 a- ~7 E1 o, O [: g& n             exit('{"error":1,"message":"Error FILE"}'); : ~) o. y2 ]+ N. m6 t

4 h: N9 J. s( Z3 v! \: v

$ E3 `1 W: U% N" ` V         }

2 K0 x# M* ?; r1 M, L$ `( c* j, y& W

2 X9 N. }6 r3 D: u" _# L/ t" `         require DT_ROOT.'/include/upload.class.php'; # D9 v, O" E$ Y. l/ S; P {6 f# M

4 W$ w9 a0 n% Y4 k& ?" i2 v

 

0 M. l8 c, B' a2 d

- \) J/ T0 F3 v# \1 E' q         $ext = file_ext($_FILES['file']['name']); * b+ B2 j# u$ i3 U8 ^0 H

, S9 g3 g* _! F- Z4 D) B

- U* ^% ]* E: [9 L* D4 g0 M+ _         $name = 'avatar'.$_userid.'.'.$ext; - U. p; } ~1 A6 @( M" R

1 B. J$ w [5 y; J8 X2 L

% Z5 G! L- {% V) H* i' }3 {         $file = DT_ROOT.'/file/temp/'.$name;

) u& _0 M! e2 n# J

0 v- j6 l& b6 D/ ]3 o" F7 B' x  

; V( X* s9 B! ~; j% j) O# ?

        if(is_file($file)) file_del($file);

, @; q7 g; S9 Y }# I3 }6 s

: P% @1 u$ [. \) Z. m7 K9 z; q         $upload = new upload($_FILES, 'file/temp/', $name, 'jpg|jpeg|gif|png'); 0 o. i9 M/ a. y) c

  ! t7 a+ T$ J [' N: F g

! O- T" `" q$ E. r1 B

. x) P& f U4 ^4 K4 Z0 h/ ]8 l         $upload->adduserid = false; b" |/ N; p0 w9 O) U

+ { h0 @ w) _9 B   + D) v) F8 q/ M& o7 O

        if($upload->save()) {

            ... - [+ E8 \5 a, @! r

2 T" t0 M: V3 d- W& b# p

# W# d2 a8 G, D6 M" ^5 L3 x         } else { 5 W" S: X. j8 L8 p" `" n+ [; C2 V

- s" v& K( z+ g- x+ C# ?

; r( y7 Z4 j0 }4 p) V! x             ...

6 s3 e7 ^* q" P         }

) T, H d5 ?* h* v6 z* H" }" y     break;

这里通过$_FILES['file']依次获取了上传文件扩展名$ext、保存临时文件名$name、保存临时文件完整路径$file变量。之后通过new upload();创立一个upload对象，等到$upload->save()时再将文件真正写入。

upload对象构造函数如下，include/upload.class.php:25：

4 L/ S6 a* i# L" n. E" c6 G$ S

4 L! J) [% O; H! P6 e2 Y <?phpclass upload {

# u) x: B% [. H! K) f; @4 j8 O

1 I+ _7 G- ], ]' `     function __construct($_file, $savepath, $savename = '', $fileformat = '') {

, f& t) J8 y2 q/ Q: Q7 x

* \4 w1 n3 B8 k% Y* w         global $DT, $_userid; % H4 n0 F8 ?7 D& [

        foreach($_file as $file) { 4 b$ M* z0 u3 N0 l3 c) T6 Z L2 O# D

% ?7 \( e) V8 L. E. ]) G

9 t/ N! {2 H& N% e' Q9 f             $this->file = $file['tmp_name']; ( c- D J$ v3 {6 Y0 L

            $this->file_name = $file['name']; 3 z8 b& c3 k- a( K: l4 }! |

* |6 N8 }! e( O: {+ B

& C5 @2 M+ e: D. ?4 P             $this->file_size = $file['size']; 1 Y7 b; s' F g+ T7 e3 u }: t

" ]* r1 [; p2 N# Y# `" `+ a$ n             $this->file_type = $file['type'];

6 {% M) s" `0 t

            $this->file_error = $file['error']; 4 c) q6 L! d: B* ]

0 s/ S$ y& c; Q# G% z

$ e8 J! L8 `: d5 e; C   / {2 u& ^4 n6 L% f8 U! b

/ Q* f( G; |# ?/ U; F

4 h# r. A$ D6 i5 a         }

- ^$ `* ~1 H+ D/ G

        $this->userid = $_userid;

        $this->ext = file_ext($this->file_name); 9 z! T* E" ~6 j2 d, W9 C

        $this->fileformat = $fileformat ? $fileformat : $DT['uploadtype'];

! ~8 c9 z1 i: B/ b% s- w

        $this->maxsize = $DT['uploadsize'] ? $DT['uploadsize']*1024 : 2048*1024; 5 z/ W* N( a! O; q0 y8 N' {

* `# S) m8 H6 g. s( q+ P4 X7 i7 x" [

1 j& ?+ i, D/ s) ]- S1 b         $this->savepath = $savepath; 6 R. a# U2 K6 d6 u" w C& t: [

5 N N9 _* z: \, I$ Q

        $this->savename = $savename;

1 O. W5 X5 D" W

! a# H. f' q) ]3 [: y2 e% _     }} / T6 X& `' L( T9 ~, \. k6 ?

这里通过foreach($_file as $file)来遍历初始化各项参数。而savepath、savename则是通过__construct($_file, $savepath, $savename = '', $fileformat = '')直接传入参数指定。

2 @ m) D5 g' S2 a% W5 n' ~( _$ \' S 因此考虑上传了两个文件，第一个文件名是1.php，第二个文件是1.jpg，只要构造合理的表单上传（参考：https://www.cnblogs.com/DeanChopper/p/4673577.html），则在avatar.inc.php中

! A5 y8 u$ s; V w

9 N' ]% I+ {( u $ext = file_ext($_FILES['file']['name']); // `$ext`即为`php` $name = 'avatar'.$_userid.'.'.$ext; // $name 为 'avatar'.$_userid.'.'php'$file = DT_ROOT.'/file/temp/'.$name; // $file 即为 xx/xx/xx/xx.php 1 f( L+ L- G, Q8 T" ]

6 W; v* p8 E6 [- I2 z, K 而在upload类中，由于多个文件上传，$this->file、$this->file_name、$this->file_type将foreach在第二次循环中被置为jpg文件。测试如下：

 

7 o/ i& T3 R1 M 回到avatar.inc.php，当进行文件保存时调用$upload->save()，include/upload.class.php:50:

" {+ r" C B( a" p <?phpclass upload {

8 G) z. j7 ^- a- G     function save() {

: Z( m0 F+ Y% S

~3 m4 ^6 P6 M8 N* ]# V- t9 o         include load('include.lang');

        if($this->file_error) return $this->_('Error(21)'.$L['upload_failed'].' ('.$L['upload_error_'.$this->file_error].')'); * b! w: i2 P. y& L

5 e1 X- @6 h1 q( }# g

5 s/ n* ]3 M5 d! \) c   [$ H2 X# S' V5 U. F) f

6 G6 S6 V' @% c7 `# P, M; A$ c6 x         if($this->maxsize > 0 && $this->file_size > $this->maxsize) return $this->_('Error(22)'.$L['upload_size_limit'].' ('.intval($this->maxsize/1024).'Kb)');

0 ~$ L* m% ^3 f( m" ^

0 u: H4 f( R5 `" A  

% R' Y5 R8 q& |7 k

3 `/ X, ~- V) b* h* t4 M3 U         if(!$this->is_allow()) return $this->_('Error(23)'.$L['upload_not_allow']);

5 v, ^- X+ S& b6 m. r/ u6 [. {

 

        $this->set_savepath($this->savepath); ]9 Y0 A. m, I) w# k/ a

        $this->set_savename($this->savename);

( y& T$ w- r9 O D G1 S5 L

 

        if(!is_writable(DT_ROOT.'/'.$this->savepath)) return $this->_('Error(24)'.$L['upload_unwritable']); ! Y" P) C; t6 B( w* y2 P/ a

        if(!is_uploaded_file($this->file)) return $this->_('Error(25)'.$L['upload_failed']); : w; J$ B- J0 b/ v6 H, F7 y* }

8 n7 o' m7 n {* L

8 a# E% Z# u0 [* ^" X2 H         if(!move_uploaded_file($this->file, DT_ROOT.'/'.$this->saveto)) return $this->_('Error(26)'.$L['upload_failed']);

/ H. W' w: m* x. S; {7 D

 

9 @# D% j3 S9 |3 k$ n& v5 ^         $this->image = $this->is_image(); ) o" Y9 v) D0 ^) R+ u( ]

( n5 | i q' V7 W; K& v6 d

        if(DT_CHMOD) @chmod(DT_ROOT.'/'.$this->saveto, DT_CHMOD); 0 ~4 H' C4 ~2 R" r2 h; u- L

2 B8 D/ j# v. ^4 H$ N6 k

9 X/ g0 s0 G4 n) {         return true; ) O% l; \- o. f

0 a' W& d! F+ t6 B" H     }}

/ h3 t! z8 ~/ S8 F 先经过几个基本参数的检查，然后调用$this->is_allow()来进行安全检查 include/upload.class.php:72： % I* [( F' S" B5 k7 g9 C

4 G7 }) L* w1 @* d+ S

<?php 3 w7 x ]6 g- \9 Z0 S( u# d4 t

: X! b" V' {- x: s7 c3 w4 g     function is_allow() {

        if(!$this->fileformat) return false;

K4 u/ p. E9 u& \- r5 ]7 G0 D         if(!preg_match("/^(".$this->fileformat.")$/i", $this->ext)) return false;

' e, u- h3 h; s, T o+ [. N' J

        if(preg_match("/^(php|phtml|php3|php4|jsp|exe|dll|cer|shtml|shtm|asp|asa|aspx|asax|ashx|cgi|fcgi|pl)$/i", $this->ext)) return false; % u3 f A. P$ t

- h3 S, v* I& M X

' o1 @) z+ }; x         return true; 8 ^/ n1 E/ v& i, e( O

7 W: \$ u, B$ I, c, V, ^, Q# q     } 8 S- x7 k' m$ h' j+ z% \

0 b* I7 O' m" s: t" j2 l 可以看到这里仅仅对$this->ext进行了检查，如前此时$this->ext为jpg，检查通过。

1 Q) c% d/ `% Z1 v9 g& P 接着会进行真正的保存。通过$this->set_savepath($this->savepath); $this->set_savename($this->savename);设置了$this->saveto，然后通过move_uploaded_file($this->file, DT_ROOT.'/'.$this->saveto)将file保存到$this->saveto ，注意此时的savepath、savename、saveto均以php为后缀，而$this->file实际指的是第二个jpg文件。

; a" |& F4 `2 x% Z

1 y) e# O6 v" @3 R: d8 I 漏洞利用

综上，上传两个文件，其中第一个文件以php为结尾如1.php，用于设置后缀名为php；第二个文件为1.jpg，jpg用于绕过检测，其内容为php一句话木马(图片马)。 + V& j' d4 Z+ G; |

6 C0 n! O# Q# p2 G* X   : @* y! s, h5 O

然后访问http://127.0.0.1/file/temp/avatar1.php 即可。其中1是自己的_userid ( c9 c: E+ I) t

: E3 |% \3 G9 j3 j, p I5 Z7 x! e

不过实际利用上会有一定的限制。

. `- }$ K5 m3 @' J. I 第一点是destoon使用了伪静态规则，限制了file目录下php文件的执行。 5 K: `% Y8 G& `, H- G* C

' Y! m! O$ q0 b3 q4 k8 c+ A

2 U; |. ?$ T) F1 U4 ^  

% p7 ?9 Y( I a x3 y; `

第二点是avatar.inc.php中在$upload->save()后，会再次对文件进行检查，然后重命名为xx.jpg： 0 ^; D$ z( Q) I7 N' A0 j3 W/ t; M/ M0 d3 I

省略...$img = array();$img[1] = $dir.'.jpg';$img[2] = $dir.'x48.jpg';$img[3] = $dir.'x20.jpg';$md5 = md5($_username);$dir = DT_ROOT.'/file/avatar/'.substr($md5, 0, 2).'/'.substr($md5, 2, 2).'/_'.$_username;$img[4] = $dir.'.jpg';$img[5] = $dir.'x48.jpg';$img[6] = $dir.'x20.jpg';file_copy($file, $img[1]);file_copy($file, $img[4]);省略...

5 e* q2 O/ o' v4 {; X6 D 因此要利用成功就需要条件竞争了。

0 z5 g8 @* C% @2 {2 G 补丁分析

 

$ u: w8 U- Q, x

( y! g+ z- q( n3 p. |( [1 } 在upload的一开始，就进行一次后缀名的检查。其中is_image如下：

" z! x( \$ e5 G" o8 ?& N1 L

& N) w+ S X7 |/ s' \& V c function is_image($file) {    return preg_match("/^(jpg|jpeg|gif|png|bmp)$/i", file_ext($file));} % O; g+ Q2 C& b2 }

$ E& E+ x( [6 a! g1 b

 

4 w8 n2 {3 }* G0 { 在__construct()的foreach中使用了break，获取了第一个文件后就跳出循环。 + x' v/ f' r7 b1 H9 ?. D- l5 z

在is_allow()中增加对$this->savename的二次检查。

/ Q/ Y& U& E) J7 m4 b. z

最后

3 \( l c2 m' P. T8 U( U 嘛，祝各位大师傅中秋快乐！ f* [( {3 o8 k$ ^% E* a" j/ T) f

- G, |' j% Y( h# W

: q' V& e) f) H8 C& t! h   " A1 S3 _ B( w) I0 k

. P' h2 v9 X* |6 i0 a$ g6 K