Destoon cms前台getwebshell

admin

@7 T: l3 K5 P6 Q

) g ]* u; z" z

3 i* t+ Z6 D1 l8 D: n) n 前言

7 y& C) `5 K) L 2018年9月21日，Destoon官方发布安全更新，修复了由用户“索马里的海贼”反馈的一个漏洞。

# F7 I4 |' H" f4 O; B+ F   ( `2 K5 k. ^. z9 O8 E& D

. V. x b T# J4 ~! h6 ]* h* A% S

6 j# F9 M' z7 Q! W* C 漏洞分析

' r6 ]% R7 C( A 根据更新消息可知漏洞发生在头像上传处。Destoon中处理头像上传的是 module/member/avatar.inc.php 文件。在会员中心处上传头像时抓包，部分内容如下：

: E+ P- M3 M$ [, H2 ?1 v) T& m# k

8 b* K& E P9 P  

- [# m; ~) ^& G/ X1 F

对应着avatar.inc.php代码如下：

" j8 r1 O" U+ X+ U$ I

<?php defined('IN_DESTOON') or exit('Access Denied');login();require DT_ROOT.'/module/'.$module.'/common.inc.php';require DT_ROOT.'/include/post.func.php';$avatar = useravatar($_userid, 'large', 0, 2);switch($action) { 2 c! p* ^" ?* z/ L( \3 S

4 Y* l6 {' I t" r. F9 {8 t& k

5 h$ e3 A; Z3 S- B     case 'upload':

* O1 @1 S: V/ B" V1 _( q. @! X

: K0 O5 V9 T% D4 O/ o* L2 o4 Z; ~3 J         if(!$_FILES['file']['size']) {

- c, ^3 C) R; i) `

            if($DT_PC) dheader('?action=html&reload='.$DT_TIME); 8 J& c3 `0 @; Z+ b# z. g

; Q: x3 I, d& v% i; s; K

/ r# l7 G1 Y, K             exit('{"error":1,"message":"Error FILE"}');

        } 3 ~5 S" \: ~2 f; y

( Y7 l, u6 G+ k# }+ A6 L3 g0 k         require DT_ROOT.'/include/upload.class.php';

  0 W3 M! q' b5 G( Q! |% t

, t% w1 s$ t1 u B5 X

        $ext = file_ext($_FILES['file']['name']); : |5 O! s4 c+ T9 d

4 f; I1 {& U/ ~0 e* k- ]/ M0 ` e% L

! |- _2 K* H" L* ?) d3 ^         $name = 'avatar'.$_userid.'.'.$ext; ' ^% g7 W5 b# O: k3 b2 j

        $file = DT_ROOT.'/file/temp/'.$name;

0 U9 [" e. ^6 C& L& ]

# r+ h! p" [+ T$ G, S; l% X4 F5 A   7 `# R }6 s" Y% @+ r

7 C. |7 s! a7 j8 V M6 q

        if(is_file($file)) file_del($file);

; \* F4 k, M: @" G" @9 r

        $upload = new upload($_FILES, 'file/temp/', $name, 'jpg|jpeg|gif|png');

) R2 f! g2 D0 k7 Q+ V" \7 G

G8 b+ A3 o: j; |. Y   1 ^0 m2 b6 y+ w. Y+ e$ J* O6 I' s4 ]

        $upload->adduserid = false;

* N5 }! h2 V6 J2 ~8 c" t5 ?   / u0 u4 t: N4 t' @4 W

I* m! j- S" r& ]+ i) B

! B+ [1 @$ V& g/ u1 g: n         if($upload->save()) {

- x3 ]( h: _. K# A% N! @

            ... 2 t, ^+ ]( M; u Z& Q* K. M

        } else { 6 M$ ~+ D; z* y0 i5 _+ W; F

3 k; w: V9 n2 S# c+ Z* ]6 w+ {             ...

        }

; f5 t7 o: W: P1 z1 i

1 R# c' e/ [- w+ K     break;

4 R' E1 z" z1 ?9 H5 F% Y2 x" r, G7 c

8 L7 j( A% l3 S, j. { 这里通过$_FILES['file']依次获取了上传文件扩展名$ext、保存临时文件名$name、保存临时文件完整路径$file变量。之后通过new upload();创立一个upload对象，等到$upload->save()时再将文件真正写入。 ' I( m q- E! ]) v3 g' D( s9 W+ z

7 {% ~- R3 g) U+ y+ v/ }, r8 `* J

upload对象构造函数如下，include/upload.class.php:25： ) {% ]" ~ `4 ]# d1 ^

<?phpclass upload { 0 v. k9 D! C" m+ v- g2 D

/ |( K; X+ K7 C

    function __construct($_file, $savepath, $savename = '', $fileformat = '') {

. d9 ~# q5 i* X f2 L3 t2 ]4 b

        global $DT, $_userid; # s7 m/ {" ]. u1 y* V

' M4 g4 R# g1 I, R: p- [- Z& e

        foreach($_file as $file) {

' u9 M2 ^: R% X' r T6 E6 s

            $this->file = $file['tmp_name']; * f) t" s0 W: \' k

' ?# ~$ f& u1 S& @% m( ~

7 ~1 d$ I6 `; h4 Z% S5 ~) d) F             $this->file_name = $file['name'];

            $this->file_size = $file['size']; ! t2 B" b/ e% y# q1 F" _# S, k

" c2 o6 Y# X6 A V ^4 {( _             $this->file_type = $file['type']; ! U$ T) A' Z" {+ G5 u6 _$ b1 c

3 R& C+ {# @+ L8 ^# }& _% M7 a( t7 ]

            $this->file_error = $file['error']; * K, U/ g# }- k2 Y

+ _- |1 ^- h, t   5 u5 ]; N: [1 G5 X' d

* `% W/ z6 \5 W, f

( D4 `# O {. z         } ' p$ ?* y% l1 B6 B

/ R+ L" @5 Y5 T

        $this->userid = $_userid; . v( y9 P% | p& U! o6 D

7 ?! P. b) H- U/ m/ o

        $this->ext = file_ext($this->file_name); # e" B6 a3 p" ?/ ~( b! R5 D5 U

        $this->fileformat = $fileformat ? $fileformat : $DT['uploadtype']; u* H0 [7 R/ ?( X% ?% T0 M3 ^

0 v1 ]$ a ~$ k' t- l% i6 D

# t/ N# n3 F. o$ `7 N( ?         $this->maxsize = $DT['uploadsize'] ? $DT['uploadsize']*1024 : 2048*1024;

        $this->savepath = $savepath;

        $this->savename = $savename; 6 z7 D7 |% h+ M' L7 y

    }} 0 I! C8 t+ V# z! f& X& `

7 R. F0 E r% \( D! @ 这里通过foreach($_file as $file)来遍历初始化各项参数。而savepath、savename则是通过__construct($_file, $savepath, $savename = '', $fileformat = '')直接传入参数指定。 6 A5 A+ j/ V: l6 @$ V1 K3 [# D

# T6 [1 S+ m2 Q9 u/ Y( m% U 因此考虑上传了两个文件，第一个文件名是1.php，第二个文件是1.jpg，只要构造合理的表单上传（参考：https://www.cnblogs.com/DeanChopper/p/4673577.html），则在avatar.inc.php中

% p: w" ?: p `4 E

$ext = file_ext($_FILES['file']['name']); // `$ext`即为`php` $name = 'avatar'.$_userid.'.'.$ext; // $name 为 'avatar'.$_userid.'.'php'$file = DT_ROOT.'/file/temp/'.$name; // $file 即为 xx/xx/xx/xx.php * P. p3 `1 Z: E) r3 d" X

而在upload类中，由于多个文件上传，$this->file、$this->file_name、$this->file_type将foreach在第二次循环中被置为jpg文件。测试如下：

4 b" W. o+ k- A' k4 ^

8 A0 J3 Q5 J7 J# A8 [9 s* O   * j3 a0 o0 e5 L( a& a: ~

: F3 v, w. h! V* i

% Z) T- e. G, t; A+ W6 e 回到avatar.inc.php，当进行文件保存时调用$upload->save()，include/upload.class.php:50: # F A2 N# U# p4 `

4 l& M6 `$ n6 y+ ?, C

<?phpclass upload {

: w$ t7 M: t, G5 O

, D# `4 f. ^. h0 H) j3 H9 {     function save() { $ Q- d" |+ B' r, z0 q0 }. k: d" b3 t

# S/ ?) R N0 f2 c

        include load('include.lang');

; B5 M1 [$ D2 a+ C; C% v i* K# B

8 m- K' i) v* C v) o! g/ ^/ E' H         if($this->file_error) return $this->_('Error(21)'.$L['upload_failed'].' ('.$L['upload_error_'.$this->file_error].')'); 4 Y- c8 [7 t6 a b! U2 n

  / ]: M0 g7 N z. K

9 _, Y6 Y/ g( O v! p         if($this->maxsize > 0 && $this->file_size > $this->maxsize) return $this->_('Error(22)'.$L['upload_size_limit'].' ('.intval($this->maxsize/1024).'Kb)');

  + Y, F* \; j4 T2 B/ y0 |0 x

$ e$ |9 W% c6 l

        if(!$this->is_allow()) return $this->_('Error(23)'.$L['upload_not_allow']); * F% N- T6 @9 G) P9 u

 

' D2 ^) p/ \2 U6 W# q

        $this->set_savepath($this->savepath); ! W" a. g6 e7 V; j1 k' R9 d% _

        $this->set_savename($this->savename); 8 v# {' }6 F' s5 D6 \4 ?; E

; G* f& @) ~7 Y/ R

  - n: J" w {* V( l

* h. m# u$ W V5 ^

. W5 _9 W# M" n3 o3 f         if(!is_writable(DT_ROOT.'/'.$this->savepath)) return $this->_('Error(24)'.$L['upload_unwritable']);

        if(!is_uploaded_file($this->file)) return $this->_('Error(25)'.$L['upload_failed']);

5 j* X' D6 `6 {& d0 d; p1 I

        if(!move_uploaded_file($this->file, DT_ROOT.'/'.$this->saveto)) return $this->_('Error(26)'.$L['upload_failed']); ' F1 D- A- N7 w; m l4 P0 G

" \* q' N$ F3 t( v2 `

& T2 ], a* Y9 u) {3 I& `5 v7 S  

        $this->image = $this->is_image();

9 @, I G( W6 P' ]

' H; J) v1 \' }7 g+ w2 n8 D         if(DT_CHMOD) @chmod(DT_ROOT.'/'.$this->saveto, DT_CHMOD);

: H+ ?# Y; J$ ^/ R

        return true;

0 A* U0 X; A3 n0 N& Z, ]     }} ! O0 {- c- y/ i/ A: J( r( I

8 B6 O* W2 z7 \ 先经过几个基本参数的检查，然后调用$this->is_allow()来进行安全检查 include/upload.class.php:72：

) i6 O* `- H, E e9 { <?php 6 t0 w3 M4 @% E1 D% r

    function is_allow() {

" s D) ^9 {. z- b; k* A

% } L, |( j5 q$ b) P K' O* A         if(!$this->fileformat) return false;

; I- {: [$ K9 v

        if(!preg_match("/^(".$this->fileformat.")$/i", $this->ext)) return false; $ U- P* v# T- O: U S

        if(preg_match("/^(php|phtml|php3|php4|jsp|exe|dll|cer|shtml|shtm|asp|asa|aspx|asax|ashx|cgi|fcgi|pl)$/i", $this->ext)) return false;

E+ w1 J# f! C L5 ~* W! Q. ~

        return true;

, Y& }! N* M8 R; t+ @

    }

可以看到这里仅仅对$this->ext进行了检查，如前此时$this->ext为jpg，检查通过。

: r* B0 T/ |7 F, @1 b5 c 接着会进行真正的保存。通过$this->set_savepath($this->savepath); $this->set_savename($this->savename);设置了$this->saveto，然后通过move_uploaded_file($this->file, DT_ROOT.'/'.$this->saveto)将file保存到$this->saveto ，注意此时的savepath、savename、saveto均以php为后缀，而$this->file实际指的是第二个jpg文件。

+ F7 N( ~ K& i, A! E( G2 Y 漏洞利用 4 I- k) N- L. F7 i) Z D

; l( t n# B7 V6 V4 w1 J5 c5 R

综上，上传两个文件，其中第一个文件以php为结尾如1.php，用于设置后缀名为php；第二个文件为1.jpg，jpg用于绕过检测，其内容为php一句话木马(图片马)。

* t" [5 B) }, e& K# F   r' P3 Q4 \ [) ~5 Y b

+ W0 R a, R; | c5 K

5 }2 R }2 f: A. U! h+ o0 u1 R 然后访问http://127.0.0.1/file/temp/avatar1.php 即可。其中1是自己的_userid / M, S4 S9 D" ~5 t# \

& R6 `# o8 i5 U- z+ S. e/ G 不过实际利用上会有一定的限制。

- s" ^! ^- }# K, V, N0 b

% J6 G# ^* {" a3 V' `7 X' B' B 第一点是destoon使用了伪静态规则，限制了file目录下php文件的执行。

- _& P D& W! S$ `" }, N! C* C

 

第二点是avatar.inc.php中在$upload->save()后，会再次对文件进行检查，然后重命名为xx.jpg： ! J9 }" p/ P# r1 |$ H+ r) U

6 D( A3 a1 s% U

省略...$img = array();$img[1] = $dir.'.jpg';$img[2] = $dir.'x48.jpg';$img[3] = $dir.'x20.jpg';$md5 = md5($_username);$dir = DT_ROOT.'/file/avatar/'.substr($md5, 0, 2).'/'.substr($md5, 2, 2).'/_'.$_username;$img[4] = $dir.'.jpg';$img[5] = $dir.'x48.jpg';$img[6] = $dir.'x20.jpg';file_copy($file, $img[1]);file_copy($file, $img[4]);省略... 8 Y+ Z& V$ }, V' V

) `; b* X4 H; N1 Y8 L' V! A

因此要利用成功就需要条件竞争了。 ! `8 e/ p+ i) p9 {$ B- y! F

4 E* }5 H+ G8 ^: X6 {5 ~8 E5 N. e5 B 补丁分析 4 `# ?4 a6 ]8 D b* F. r3 _9 V' g

 

在upload的一开始，就进行一次后缀名的检查。其中is_image如下： % q4 i! p0 \) X9 f* r: b7 _4 |

function is_image($file) {    return preg_match("/^(jpg|jpeg|gif|png|bmp)$/i", file_ext($file));}

0 ]/ Y6 b# h+ H1 R, [

  0 C4 d$ ]: X: W

8 W- y, n: I7 o" j+ {' E$ D! X: w

9 T S" n( D N 在__construct()的foreach中使用了break，获取了第一个文件后就跳出循环。 2 v2 Y* s$ E5 T4 C' S* b

1 H6 j- `# S0 R$ G0 R b5 E 在is_allow()中增加对$this->savename的二次检查。

6 [) g8 n; ?: f B2 p

( w& T3 O* h* F$ A* h0 L- ]0 } 最后 # T: k, h& O) \: c

% v5 [% R2 ^6 K- T4 k" S 嘛，祝各位大师傅中秋快乐！

 

9 }& R3 D# ]) B+ _+ W