Destoon cms前台getwebshell

admin

5 {5 y$ t* W0 g8 N, V

# H. j0 s h/ _9 n+ B- x2 d

3 Z& T' I! v, ?3 {9 _7 _; i0 } 前言 " L3 {% M; z' _0 m" {8 J+ E' M

% k! ^4 ?" h6 ?8 G D 2018年9月21日，Destoon官方发布安全更新，修复了由用户“索马里的海贼”反馈的一个漏洞。

 

漏洞分析 , k; I7 M i* y, @) D! p0 X. v6 s

/ Y' N/ J0 q+ S# d+ `6 _+ f 根据更新消息可知漏洞发生在头像上传处。Destoon中处理头像上传的是 module/member/avatar.inc.php 文件。在会员中心处上传头像时抓包，部分内容如下：

3 b+ X; V F/ P! B  

6 M6 g+ a3 f; n, D4 t2 n

q6 ? V9 o9 c 对应着avatar.inc.php代码如下： ) Z+ L: E( L9 z; x$ z, ]. a/ Y* a

( E0 l! i- `" L& I! c1 @' _ <?php defined('IN_DESTOON') or exit('Access Denied');login();require DT_ROOT.'/module/'.$module.'/common.inc.php';require DT_ROOT.'/include/post.func.php';$avatar = useravatar($_userid, 'large', 0, 2);switch($action) { 0 m1 Z! F6 A3 V, R( o2 x

    case 'upload':

" p5 _( O& }9 _9 L( G* |* w0 u& T% a         if(!$_FILES['file']['size']) {

; ?7 q5 O) n( X' A: V

# n5 A/ `" t% g- L3 U6 w             if($DT_PC) dheader('?action=html&reload='.$DT_TIME);

3 a9 l$ f$ @ `5 }- K& S5 T             exit('{"error":1,"message":"Error FILE"}');

" w) b7 V4 L- ?; C5 y) g6 \

        }

; W8 T! @9 d5 F/ K" g5 @

3 k5 U3 l. d: q         require DT_ROOT.'/include/upload.class.php';

 

& `& m6 J# c& f0 L# B

, N( q) k5 i; H S4 u+ M         $ext = file_ext($_FILES['file']['name']); ' E8 E9 A0 T) C8 o

$ V- N: q" S* m0 b/ r' c

" V8 P$ h v" `5 |% A         $name = 'avatar'.$_userid.'.'.$ext; 0 A8 y2 h* F* `; ?% R1 `

3 z. b' O+ ?5 K5 B: C2 m         $file = DT_ROOT.'/file/temp/'.$name; 6 d! W) f' w, H1 j# ?

$ R: n, v0 m4 H

  * S D! D* |0 i1 i

        if(is_file($file)) file_del($file);

        $upload = new upload($_FILES, 'file/temp/', $name, 'jpg|jpeg|gif|png');

9 q3 ] Q0 q* p% h4 V, ~4 }2 P8 t3 T1 u

?" U9 z+ S' @$ ~3 W2 H6 q  

' S0 x+ G& j4 | l' V7 ~- y

- H; c% L* U2 h2 |0 y* F! R3 u/ c         $upload->adduserid = false;

6 g( B' N, m2 w" M' @# W0 t

+ b, H: J& c+ A8 S  

0 W) n7 Z8 L, ^9 @1 X/ ]

$ t# p) v2 Y! O( D: x         if($upload->save()) { " _4 c* R: c. R1 p: Q) c/ z

            ...

        } else {

            ... & X) E7 A% T. Q$ L. ^

        }

3 F/ m! H. H# V( E

    break;

$ k$ Q4 S. s+ F- A0 V) v7 ^+ I

6 F; w$ ~2 D/ J0 R) q; n 这里通过$_FILES['file']依次获取了上传文件扩展名$ext、保存临时文件名$name、保存临时文件完整路径$file变量。之后通过new upload();创立一个upload对象，等到$upload->save()时再将文件真正写入。

* z: S- n+ {* K1 J0 _, j

. r( u7 J* P1 \9 A upload对象构造函数如下，include/upload.class.php:25： ; H# u1 S9 \8 F$ I+ v% Z

& f. i- ~* Q" t/ X

<?phpclass upload { 1 Q9 R3 D$ u9 u2 C

% O G8 c- M$ |' @, k# ?# e+ I

    function __construct($_file, $savepath, $savename = '', $fileformat = '') { # }) z3 t% }/ x3 q- [6 Y' E

( O; [2 c& ~3 g ~& n. z0 Q

        global $DT, $_userid; : c. A2 v3 h" Z$ X

        foreach($_file as $file) {

$ W1 D* C2 M4 d. u0 G" z

            $this->file = $file['tmp_name']; $ c& n: V( a+ o) R* c+ R

" R- [; k- d% b8 s5 p4 \! Q             $this->file_name = $file['name']; 9 L! p. c- t; R( Q/ b4 ~( \' t

4 x# t' f( G3 |5 H9 T

/ e+ b; A8 L. [9 t/ F% u, Q             $this->file_size = $file['size']; 8 y) R! Z* D- K+ o- D* q

            $this->file_type = $file['type'];

2 h. t; Z( z/ \% P8 a4 z

            $this->file_error = $file['error'];

) U: X$ a3 p0 _) Q3 t   & K9 V0 B* ^, ^

6 R3 w( v9 T5 [1 P7 u7 r% c8 V

        }

6 U0 y; W: _+ @5 Q1 N. F) M

        $this->userid = $_userid;

+ G2 V: h5 n: f; L9 O* Q

        $this->ext = file_ext($this->file_name);

0 E: [- q3 T7 ]# r L. i         $this->fileformat = $fileformat ? $fileformat : $DT['uploadtype'];

% q$ Q5 U$ z2 ?/ Y

6 _1 d8 a6 J7 M% U( t* I         $this->maxsize = $DT['uploadsize'] ? $DT['uploadsize']*1024 : 2048*1024; . [5 b7 a0 O4 A' [

; k/ |# Y' l. `$ u6 q6 i5 I         $this->savepath = $savepath; ' ?" E8 A5 b4 f+ _ `: d6 [6 ^" P* L

        $this->savename = $savename; . H$ }- S5 t4 b$ k+ g1 W3 a: Z. ?/ g

' ] p1 A$ b! P1 O y2 J# y; U

1 x" ^9 I& t* |2 p     }}

% @9 R) G! c8 ]8 L Z

这里通过foreach($_file as $file)来遍历初始化各项参数。而savepath、savename则是通过__construct($_file, $savepath, $savename = '', $fileformat = '')直接传入参数指定。 * I0 I$ }6 a; X+ g

因此考虑上传了两个文件，第一个文件名是1.php，第二个文件是1.jpg，只要构造合理的表单上传（参考：https://www.cnblogs.com/DeanChopper/p/4673577.html），则在avatar.inc.php中 ' O7 u+ ]# t" S3 V0 q) b

9 s/ T! z# c4 W1 Y

) V- A: `" M+ O! ]" z3 F $ext = file_ext($_FILES['file']['name']); // `$ext`即为`php` $name = 'avatar'.$_userid.'.'.$ext; // $name 为 'avatar'.$_userid.'.'php'$file = DT_ROOT.'/file/temp/'.$name; // $file 即为 xx/xx/xx/xx.php

0 q% b3 w+ Q2 I; |! _/ {! i% l 而在upload类中，由于多个文件上传，$this->file、$this->file_name、$this->file_type将foreach在第二次循环中被置为jpg文件。测试如下： : S3 K( ?# H3 A/ V5 t* E

  1 Y& ^# X8 T( e; l0 ~. N

回到avatar.inc.php，当进行文件保存时调用$upload->save()，include/upload.class.php:50: " U2 ]1 q" E7 U. T. M8 f

<?phpclass upload {

    function save() { 3 [0 c) a! n+ F9 V

        include load('include.lang');

8 o- j+ {! m; a5 s1 d% e         if($this->file_error) return $this->_('Error(21)'.$L['upload_failed'].' ('.$L['upload_error_'.$this->file_error].')');

" H5 N, ^* ?( x7 O   : H% a, K% N) [; K: h1 X g

3 j" m6 ?: H2 Q

        if($this->maxsize > 0 && $this->file_size > $this->maxsize) return $this->_('Error(22)'.$L['upload_size_limit'].' ('.intval($this->maxsize/1024).'Kb)');

- R% P( i7 X, c( m* m+ S

  $ u" m, c; D# l# M, k+ {

        if(!$this->is_allow()) return $this->_('Error(23)'.$L['upload_not_allow']); ) W Q( \ e7 G8 k

0 m4 x5 s9 ]9 y' M

0 @: I2 b- C( e8 G3 |# M# i; |   0 }4 O8 k1 j! V5 }

        $this->set_savepath($this->savepath);

( z7 q6 {3 I7 i9 h

        $this->set_savename($this->savename); 1 S5 K- E* S% x4 j5 k

  ( I, T# ^. ]+ A0 W

        if(!is_writable(DT_ROOT.'/'.$this->savepath)) return $this->_('Error(24)'.$L['upload_unwritable']); : j D% W Z' T( L& o& n

1 F: o6 a& l3 m) @3 C% p         if(!is_uploaded_file($this->file)) return $this->_('Error(25)'.$L['upload_failed']); ) M- O, }9 k( |# a: _

. `0 A+ M t( G

& L6 Z; u2 d3 |; j: [! J" g         if(!move_uploaded_file($this->file, DT_ROOT.'/'.$this->saveto)) return $this->_('Error(26)'.$L['upload_failed']);

( r. Z3 A+ d4 M/ ^  

. e! Y7 I! N. S4 }5 B N

$ R( @3 v, Q' P. }7 Z, i         $this->image = $this->is_image(); , \9 {! [2 r z. M

" L( w, O8 {& k; i2 e# R

5 h! i) B/ N9 k+ g: Z         if(DT_CHMOD) @chmod(DT_ROOT.'/'.$this->saveto, DT_CHMOD); ) d1 l9 \: o/ o. Y

: G: Z. [, c0 \6 }# P Y5 m5 k         return true; * f3 |4 q: Y9 s8 T

) X2 u- h$ u% h: E

, o3 |" ^) u" j     }}

- q5 l5 j* q, b$ a/ F) y9 Y: A 先经过几个基本参数的检查，然后调用$this->is_allow()来进行安全检查 include/upload.class.php:72： , F. |! T, v; F8 s0 L8 B: i3 u

6 y8 t0 k2 W$ Z# w/ `6 s, F

<?php

8 H/ S, z8 J n/ O% x( p( y

    function is_allow() {

        if(!$this->fileformat) return false;

' \- D1 w$ A; h) x. G9 g: c: w4 ]4 ~         if(!preg_match("/^(".$this->fileformat.")$/i", $this->ext)) return false;

8 d& d3 g' d# H$ ?/ K0 _- a; z         if(preg_match("/^(php|phtml|php3|php4|jsp|exe|dll|cer|shtml|shtm|asp|asa|aspx|asax|ashx|cgi|fcgi|pl)$/i", $this->ext)) return false;

" d1 O: L7 y* }3 k

        return true;

3 H" R; F+ e2 U- b" \4 j     } 5 V( g# K* N/ L3 O0 F( ]

可以看到这里仅仅对$this->ext进行了检查，如前此时$this->ext为jpg，检查通过。 * w# s9 n' p- [, I. H2 p% a% `

接着会进行真正的保存。通过$this->set_savepath($this->savepath); $this->set_savename($this->savename);设置了$this->saveto，然后通过move_uploaded_file($this->file, DT_ROOT.'/'.$this->saveto)将file保存到$this->saveto ，注意此时的savepath、savename、saveto均以php为后缀，而$this->file实际指的是第二个jpg文件。

漏洞利用

4 g/ ~0 x) C, S 综上，上传两个文件，其中第一个文件以php为结尾如1.php，用于设置后缀名为php；第二个文件为1.jpg，jpg用于绕过检测，其内容为php一句话木马(图片马)。

& r& ?+ c& s) L* Q4 B f  

" }8 P) I+ }# d& S& @, U, J; y/ v

然后访问http://127.0.0.1/file/temp/avatar1.php 即可。其中1是自己的_userid

. v9 O' f7 _( I* c# w

* {) K' ]+ N8 u( t3 R% } 不过实际利用上会有一定的限制。

第一点是destoon使用了伪静态规则，限制了file目录下php文件的执行。

 

y& F6 r2 C x) P- w4 z9 P

, v) |7 `/ i) {8 A 第二点是avatar.inc.php中在$upload->save()后，会再次对文件进行检查，然后重命名为xx.jpg：

省略...$img = array();$img[1] = $dir.'.jpg';$img[2] = $dir.'x48.jpg';$img[3] = $dir.'x20.jpg';$md5 = md5($_username);$dir = DT_ROOT.'/file/avatar/'.substr($md5, 0, 2).'/'.substr($md5, 2, 2).'/_'.$_username;$img[4] = $dir.'.jpg';$img[5] = $dir.'x48.jpg';$img[6] = $dir.'x20.jpg';file_copy($file, $img[1]);file_copy($file, $img[4]);省略... - p7 n. j; T6 \- f1 f3 v, Z8 `1 ^

2 V: o( K# H3 Z2 S: {' X

因此要利用成功就需要条件竞争了。 9 ^; U2 x; A' g- Q" D; w1 a1 |

% e$ n4 ^& i K, V 补丁分析

7 a4 C8 M; G0 s& A# X' I  

. Q9 ^, t5 z7 P" V8 J# H6 m 在upload的一开始，就进行一次后缀名的检查。其中is_image如下：

& v! T2 ^4 G. x+ |

" J( f9 f% I& G7 R' n function is_image($file) {    return preg_match("/^(jpg|jpeg|gif|png|bmp)$/i", file_ext($file));}

( B0 a2 v. d" p {5 ~

 

/ _3 q1 z, ?3 Z( Q) d. @ m# a) D

4 W5 j& ~$ u! t. }# ^2 @% Q 在__construct()的foreach中使用了break，获取了第一个文件后就跳出循环。

在is_allow()中增加对$this->savename的二次检查。

2 B( R2 N0 O5 a; U$ s

6 Z2 P7 T" }; [- c- u 最后

嘛，祝各位大师傅中秋快乐！ 6 t* A, x. n0 f ~: r5 v

" S, Z; [" w! m7 [! K1 e

" H3 i0 ~' Z4 ~$ H1 t$ t) M& n