Destoon cms前台getwebshell

admin

5 b; L4 F& G k0 F$ } n5 d9 R

前言

8 u) ^. b% y, t0 l% z+ q: w

! ^" `0 Q% X6 B; D( Q. p 2018年9月21日，Destoon官方发布安全更新，修复了由用户“索马里的海贼”反馈的一个漏洞。 ( e% f8 z( @! O/ R; |

% {4 l$ z" i, ^8 Q   ' @. X5 D- \/ u( P# h7 u

漏洞分析

# \ z! Z& h' O- a9 r

根据更新消息可知漏洞发生在头像上传处。Destoon中处理头像上传的是 module/member/avatar.inc.php 文件。在会员中心处上传头像时抓包，部分内容如下：

 

z$ f; H c$ h 对应着avatar.inc.php代码如下： 2 q+ E0 Q- J1 }- |4 V9 h7 {6 o

! X! m7 E9 Y- X; V7 Z; D/ I <?php defined('IN_DESTOON') or exit('Access Denied');login();require DT_ROOT.'/module/'.$module.'/common.inc.php';require DT_ROOT.'/include/post.func.php';$avatar = useravatar($_userid, 'large', 0, 2);switch($action) {

! E4 p# e' D. P3 U B4 z/ ?

A% C0 {3 G5 y     case 'upload':

* i9 k! V3 |6 r4 q% f4 X

! F) h& H9 @6 }( s9 x: O8 V         if(!$_FILES['file']['size']) { ~. |; q3 x0 O ` V1 R

            if($DT_PC) dheader('?action=html&reload='.$DT_TIME); 1 H/ t( f5 q7 K* ~, g1 F0 B+ u: ?: u5 b

9 u3 _* [/ _9 V

            exit('{"error":1,"message":"Error FILE"}');

        } ; g5 t! U' s! P( ]. T/ U( j

0 {" a8 p( G5 [9 f

        require DT_ROOT.'/include/upload.class.php';

9 z- g7 }: I* A$ w( f

: u' j/ j Z5 \0 Q8 t1 D0 g# y  

/ c/ j9 U* y, R5 S7 q

8 L1 j" X% S* U! J. }         $ext = file_ext($_FILES['file']['name']); , h$ j( l, d6 o+ a" f8 ~9 I0 h+ H5 Z _' q

- \5 m+ }8 ]: t! z9 u         $name = 'avatar'.$_userid.'.'.$ext; ( O5 ~) v& z o

! q* f- v2 A, x9 O8 X" x5 e         $file = DT_ROOT.'/file/temp/'.$name; m0 `6 ]* S( F

* Y9 g5 _& K! t

1 P% l) V7 Z" ]  

+ F5 }6 j3 r8 G1 j8 P8 s         if(is_file($file)) file_del($file); - ], o0 o* ], R8 v" n3 E

' q7 T `- y+ D% A1 L2 W" |% M/ Y5 h         $upload = new upload($_FILES, 'file/temp/', $name, 'jpg|jpeg|gif|png'); 7 j/ ^& ~% {7 B3 L' C

 

% [/ d0 q$ [4 J- l

        $upload->adduserid = false;

  7 {, G" s$ P/ d- y8 X! r( h

) x$ M" e, O9 [1 f) p+ P

        if($upload->save()) { & |; d5 E: Z- c0 S

! Q* F: Z# N& _8 X/ r             ... , c5 A6 k' W* a8 k/ n- m

        } else {

$ \( D% a& m' _5 q5 Z8 q

            ...

        }

) Z- @8 ]( D; ^ D% B

    break;

- t5 U) w* G L: @# \! o

8 q# f; K1 I/ h8 X( W8 k 这里通过$_FILES['file']依次获取了上传文件扩展名$ext、保存临时文件名$name、保存临时文件完整路径$file变量。之后通过new upload();创立一个upload对象，等到$upload->save()时再将文件真正写入。

2 Y: w+ J" g- y+ w1 Y5 E

upload对象构造函数如下，include/upload.class.php:25： $ k! q Y. r9 q7 x

<?phpclass upload { 5 d2 ~# }# _* O4 @) ?

- R! H5 @& L& K+ \

: k- Q h" v6 t& h6 P3 m     function __construct($_file, $savepath, $savename = '', $fileformat = '') { + w# O5 Z# B+ h$ L) X! B

9 U) X! W C- Y8 H         global $DT, $_userid;

2 X q% C6 I; |. l3 F K& e7 a

        foreach($_file as $file) { Q5 W! x3 ]) I; M% H% |

6 Y+ x6 q4 F$ c. m

, h9 k; X; b* y             $this->file = $file['tmp_name'];

5 P `" L: A$ ]* ]- u             $this->file_name = $file['name'];

$ l: ~( g Z9 E5 x( s1 D             $this->file_size = $file['size']; 9 j |/ v" k! Y) |, _& I! M. R

2 K, H/ O3 Q4 l4 o

3 R6 ]4 z; c! `( r8 F! {3 S; F             $this->file_type = $file['type']; . ^3 p2 h) f; M$ m5 D

9 I6 [; N+ _( {

            $this->file_error = $file['error'];

. C" d6 t/ ?* l/ P7 n& ~3 F& O

 

& d8 V7 T7 F- h( a1 t/ K/ w, N

        }

& U7 e( Y+ ]) C& c; R( {6 y: `

, ^$ K) N6 m; D q         $this->userid = $_userid;

* d9 P. G& j* b2 [6 `( m, f

1 q' w6 x; U' V         $this->ext = file_ext($this->file_name);

J6 w+ \2 F. L0 k s+ r

        $this->fileformat = $fileformat ? $fileformat : $DT['uploadtype']; y5 d4 t8 e. K& q3 K' q/ b/ \

[$ C1 D& D2 K# U9 V! G         $this->maxsize = $DT['uploadsize'] ? $DT['uploadsize']*1024 : 2048*1024; - c2 ]7 X# H7 z# o/ l

1 g" V, b; U! H( A/ Q* c! f         $this->savepath = $savepath; 8 L# c8 z# @- L) ]7 h X

0 H4 W! H) |8 w0 P

/ H$ w' w" v q9 k4 h; F         $this->savename = $savename; ( A* L+ u7 H( @2 F. ^8 g3 Z5 G

    }} ; P- G% [7 V3 u; j

- t7 s6 b# i& a 这里通过foreach($_file as $file)来遍历初始化各项参数。而savepath、savename则是通过__construct($_file, $savepath, $savename = '', $fileformat = '')直接传入参数指定。

+ S' ^" f' U% e7 u

|1 m1 _/ x- x$ ]4 p+ G 因此考虑上传了两个文件，第一个文件名是1.php，第二个文件是1.jpg，只要构造合理的表单上传（参考：https://www.cnblogs.com/DeanChopper/p/4673577.html），则在avatar.inc.php中 ' b/ R# X. D5 U; ^

$ext = file_ext($_FILES['file']['name']); // `$ext`即为`php` $name = 'avatar'.$_userid.'.'.$ext; // $name 为 'avatar'.$_userid.'.'php'$file = DT_ROOT.'/file/temp/'.$name; // $file 即为 xx/xx/xx/xx.php

' O3 J) [6 z' O" J/ `0 C% S

: i/ m! s S$ y) F4 q 而在upload类中，由于多个文件上传，$this->file、$this->file_name、$this->file_type将foreach在第二次循环中被置为jpg文件。测试如下：

6 `5 V2 P5 K5 H* A3 n

1 J t0 b E3 J; q8 ~  

回到avatar.inc.php，当进行文件保存时调用$upload->save()，include/upload.class.php:50:

- m) K# Q+ D e1 T/ F0 M2 l <?phpclass upload {

" ~( c4 ?% a, T! U* ^     function save() { - `7 U: _0 i+ a) v9 K' Y

# u* @* l+ S% T6 u

7 e Y8 O3 e9 |9 f; B         include load('include.lang'); # `2 v4 }" m: g3 S

6 A$ Z8 A$ x' f& D         if($this->file_error) return $this->_('Error(21)'.$L['upload_failed'].' ('.$L['upload_error_'.$this->file_error].')'); ) Y2 N% p& G' @# k: R

7 _' |5 {8 d$ E) U

% |. r8 [7 x0 R# d$ N  

        if($this->maxsize > 0 && $this->file_size > $this->maxsize) return $this->_('Error(22)'.$L['upload_size_limit'].' ('.intval($this->maxsize/1024).'Kb)');

% t1 a9 W0 Y9 @) |6 f: C

( O, M$ y! f: p; l6 I7 g% W  

1 _4 y1 b4 l" C' y6 H5 I         if(!$this->is_allow()) return $this->_('Error(23)'.$L['upload_not_allow']); + E: K' ^" T0 V. G( ]

' e3 V7 g6 a, Z- S6 {   X% L0 b7 J8 z9 G4 a1 h, l4 f* Y

$ ?' F- k7 I- g- y7 G1 i

5 v4 |. ]$ W" O; P* g+ _1 `         $this->set_savepath($this->savepath); \ a8 ^* |2 l( ` j

        $this->set_savename($this->savename);

- s: _5 c; S7 F& w' U+ U7 o

$ `$ {7 D4 d" y1 \ R  

+ E$ b" F2 [6 t/ t8 N9 m         if(!is_writable(DT_ROOT.'/'.$this->savepath)) return $this->_('Error(24)'.$L['upload_unwritable']); . P0 ^; P( H0 C5 [; w' u/ f& D

$ b4 n0 n* }7 v3 c

& ^. Y4 U/ W4 m! P         if(!is_uploaded_file($this->file)) return $this->_('Error(25)'.$L['upload_failed']); * K- m0 r2 Q& f3 h* o& k

2 G1 F- Z y1 R4 V         if(!move_uploaded_file($this->file, DT_ROOT.'/'.$this->saveto)) return $this->_('Error(26)'.$L['upload_failed']);

/ [6 }$ s0 B0 I) o! c1 @   " S$ X- c) r2 y1 f6 f+ `' k+ U

D+ R4 V8 h" e0 E         $this->image = $this->is_image();

. a: F) z5 e9 k" J4 p+ Q: `/ G

8 m7 ^8 f$ k. O/ n; C; ]3 H9 F( E* X" I         if(DT_CHMOD) @chmod(DT_ROOT.'/'.$this->saveto, DT_CHMOD);

        return true; 6 ]- ~6 a% w& c7 m

    }}

& Z. C7 Q2 o( V# @5 D

, C. N' c W& k9 k2 V2 V 先经过几个基本参数的检查，然后调用$this->is_allow()来进行安全检查 include/upload.class.php:72： / u+ h/ U. z, s6 X' l- e: D

1 z, V0 N/ l6 } <?php - h5 H% Y! H3 B3 G, v" ?

! V, g) G& f3 D3 N; K7 D- Y) f) Z

# @7 r) `* l* W$ I     function is_allow() {

1 a2 B: [% C( r0 A7 r9 Y: K% Z% x

: u6 C" e" ~% R& |+ l( b         if(!$this->fileformat) return false;

+ [$ P: c$ Z; L; t- Y0 g         if(!preg_match("/^(".$this->fileformat.")$/i", $this->ext)) return false; 2 d% x6 e" F1 U) a2 ^

        if(preg_match("/^(php|phtml|php3|php4|jsp|exe|dll|cer|shtml|shtm|asp|asa|aspx|asax|ashx|cgi|fcgi|pl)$/i", $this->ext)) return false; 9 {- G; B# j/ S2 L8 b

        return true;

, o# `$ L& j, M+ Q. E! }     }

可以看到这里仅仅对$this->ext进行了检查，如前此时$this->ext为jpg，检查通过。

接着会进行真正的保存。通过$this->set_savepath($this->savepath); $this->set_savename($this->savename);设置了$this->saveto，然后通过move_uploaded_file($this->file, DT_ROOT.'/'.$this->saveto)将file保存到$this->saveto ，注意此时的savepath、savename、saveto均以php为后缀，而$this->file实际指的是第二个jpg文件。

$ ~ G: n$ j$ ~1 T 漏洞利用

7 J1 U) a/ Y9 J

综上，上传两个文件，其中第一个文件以php为结尾如1.php，用于设置后缀名为php；第二个文件为1.jpg，jpg用于绕过检测，其内容为php一句话木马(图片马)。 + N8 W t" N3 H2 s4 B7 u2 U" n1 R

5 Q- R( |& T/ m

  2 `) c9 N% k+ t- O) ]" C0 R2 {; b

0 V( q, m5 `1 e% o

' r% k; C* i. |! a8 B 然后访问http://127.0.0.1/file/temp/avatar1.php 即可。其中1是自己的_userid 3 _' }1 a( {5 H

5 O, j* Z1 I3 X, j

# f- H( \5 s$ {- J" O8 F- W1 V 不过实际利用上会有一定的限制。 : r4 A- v: T- v1 L. ^& i# D. b: {

. b* M4 c; i3 _9 R

) T9 F; e. K3 X G# W 第一点是destoon使用了伪静态规则，限制了file目录下php文件的执行。

' e" p$ j2 d9 F+ ^- A5 c   9 b# j! w, U2 F) n Y+ d

# ~/ Q" l8 m* {. [) ^: t

第二点是avatar.inc.php中在$upload->save()后，会再次对文件进行检查，然后重命名为xx.jpg： z6 d* x/ P& f

2 c% q( @: S4 B' o4 M; L

省略...$img = array();$img[1] = $dir.'.jpg';$img[2] = $dir.'x48.jpg';$img[3] = $dir.'x20.jpg';$md5 = md5($_username);$dir = DT_ROOT.'/file/avatar/'.substr($md5, 0, 2).'/'.substr($md5, 2, 2).'/_'.$_username;$img[4] = $dir.'.jpg';$img[5] = $dir.'x48.jpg';$img[6] = $dir.'x20.jpg';file_copy($file, $img[1]);file_copy($file, $img[4]);省略... 0 k6 Y: f7 y* E9 x

6 E# v9 S/ I! B' f 因此要利用成功就需要条件竞争了。 % D4 `3 I+ |4 D- M- |2 D. }# b

; E" Z% V$ c7 K, J5 t6 ]& |

补丁分析 5 ` z. f/ Z/ X0 |2 R& G

 

% i' k Z2 ?7 i, M7 u: F7 S

* P9 ?/ P) I' m, m* s) z0 a+ s 在upload的一开始，就进行一次后缀名的检查。其中is_image如下： 8 W, u& {9 u. [. |+ J S

) s# e) k+ V6 v1 ?7 M; B! T

! B) F7 \ R6 e3 ^ function is_image($file) {    return preg_match("/^(jpg|jpeg|gif|png|bmp)$/i", file_ext($file));} , l# Q" J' ?5 @+ E; u! G! f

5 z+ j# u4 `( H) B5 F7 r

 

2 m8 O; Z5 N; W) n$ r% z

; R" v4 g( [3 P7 c8 B 在__construct()的foreach中使用了break，获取了第一个文件后就跳出循环。 * ^0 y5 a) Q! l1 D( ?

, s* H! U. t. B

6 C0 c5 s' [7 q 在is_allow()中增加对$this->savename的二次检查。

最后 / |" C m% @. j4 j8 ]. h/ a. N1 N$ L

嘛，祝各位大师傅中秋快乐！ 7 r, d' H) Y3 U, c% H9 i

1 K- j4 v' J# K% {# D* b. I" K

2 q* o+ p+ Q' o( |   5 p# Q' ?3 U/ M" `$ _

+ Y0 ` X% s) n, x