Destoon cms前台getwebshell

admin

' }& ~. X0 q4 s( j) B& O* _

前言

* P1 C- z( i' m* n6 v7 u+ ` 2018年9月21日，Destoon官方发布安全更新，修复了由用户“索马里的海贼”反馈的一个漏洞。 ; m0 e4 a* ^7 k5 }

' g h3 [) A: N' d0 A% P- Q* D

7 O9 X( [- X- a$ S9 Y1 _; d   # p1 S& N" H, @/ t Q1 H

漏洞分析 . ]5 N1 Q$ d/ }7 ?1 {

' }; C5 ?, L9 Z/ J$ n

根据更新消息可知漏洞发生在头像上传处。Destoon中处理头像上传的是 module/member/avatar.inc.php 文件。在会员中心处上传头像时抓包，部分内容如下： ( W& K: m8 x7 T' o0 N' E

: \+ v2 R5 Y; e7 L) v$ X   ' W3 K/ u: T) N

) _& f+ o" }, ]6 v! t* z5 G% z, O 对应着avatar.inc.php代码如下： , x1 R5 T% M& o" Z; p5 e

& a) y* q" m* T <?php defined('IN_DESTOON') or exit('Access Denied');login();require DT_ROOT.'/module/'.$module.'/common.inc.php';require DT_ROOT.'/include/post.func.php';$avatar = useravatar($_userid, 'large', 0, 2);switch($action) { ( G5 m+ M3 V. M+ r- ] T4 o

& S- C; s) m3 c2 X; O

8 B) T4 I) J$ c1 f& J2 I% o     case 'upload': 6 E7 _- b. ]! K7 j" j/ K j6 A

, ?" u% I3 }9 R7 l3 y

        if(!$_FILES['file']['size']) {

            if($DT_PC) dheader('?action=html&reload='.$DT_TIME); 8 h3 [# K1 a' u8 p0 x

e' ]/ L. u7 C$ K" z' i# r2 _

            exit('{"error":1,"message":"Error FILE"}'); * \0 d; o, F: `

1 c3 U6 P( W9 \, W1 a* J/ P

        }

2 _0 r& W" }; I

" |, ^) @; ]+ C [- p& H9 w         require DT_ROOT.'/include/upload.class.php'; 3 D5 r' _0 W* K7 s* }) e

/ [5 H: Q& D) {4 x5 d  

' _0 Z8 Y) R6 Y4 N

, W4 I9 u: }, t, h, N! W1 c         $ext = file_ext($_FILES['file']['name']); ( c+ q6 l z) X! o" t

- I% p7 G5 m: y0 A( g4 s+ g         $name = 'avatar'.$_userid.'.'.$ext;

        $file = DT_ROOT.'/file/temp/'.$name;

 

        if(is_file($file)) file_del($file);

        $upload = new upload($_FILES, 'file/temp/', $name, 'jpg|jpeg|gif|png');

, s+ T+ R+ p5 z3 C) `

4 ?' D9 m! \$ p0 U' V8 w: f9 {' B   5 q0 b) l1 |: `4 Q# ~

/ q$ Q6 L5 a7 [

, [1 W x0 ^, t5 \ l+ B- K/ O         $upload->adduserid = false; : Y3 z& u$ Q8 Q3 [8 X7 w

& [3 m& P- {- \; _/ m

/ _+ H' Y+ `. A9 ?1 ]0 N4 E   ( W; @, t+ M r; E

4 d3 M) L! i$ l7 m. M7 m1 K# e |9 i

& B7 j% @" @- m/ f         if($upload->save()) {

            ... / G6 ~; L& F: C, |

        } else { 9 S7 \2 W$ h7 @8 S

0 G- s1 m- i* H. H

            ...

+ z% J7 j7 P0 h+ g' g: h/ [$ y

        }

    break;

2 O; S `7 U' h

! L) c) `: }0 z! V 这里通过$_FILES['file']依次获取了上传文件扩展名$ext、保存临时文件名$name、保存临时文件完整路径$file变量。之后通过new upload();创立一个upload对象，等到$upload->save()时再将文件真正写入。

0 e$ v3 L( Y" |. q4 { D

upload对象构造函数如下，include/upload.class.php:25：

! d# a6 p' |# G+ k/ F3 g* A* ` <?phpclass upload {

; ?2 y8 P( S. }" X% ~* d( n     function __construct($_file, $savepath, $savename = '', $fileformat = '') { # `8 S; ^2 e- x, t

7 f% G: o0 R3 a! ?# T

        global $DT, $_userid;

o5 a. ^& X3 I% ^5 ]9 k         foreach($_file as $file) { / O6 h% x9 ^& }8 K

            $this->file = $file['tmp_name']; ( o$ E% }8 ?$ t2 _

- M% w, H/ _2 s' x I             $this->file_name = $file['name']; 6 [ g. Q% Q4 @! S

4 G6 B1 F7 _: Q3 f6 D

            $this->file_size = $file['size'];

1 B! |5 c# u i; ~) r- T- R& I             $this->file_type = $file['type']; 1 { z0 ]$ p3 U0 D

! O! @% ~- T/ E7 _" i- B6 n

            $this->file_error = $file['error']; 0 d% `/ _; A" j

  # g- n9 ?! O I- B/ w9 ~" @8 S* d; j

4 _( M6 A3 V* ` d$ u( O9 h. ]* C ?         }

* r: s/ ?8 @+ ~         $this->userid = $_userid;

+ k0 O5 E0 m, J# c q" Q. R' Y

        $this->ext = file_ext($this->file_name); + v: G# k% E9 o9 ?& E6 X1 W; ?7 f

+ r) J& p' }, u) E

9 c! b, h$ |1 I; [: z" _4 ?& ?         $this->fileformat = $fileformat ? $fileformat : $DT['uploadtype'];

5 W! c" D; Y. b( k/ K8 I

6 J2 K9 `1 u; [2 W' ~. k7 v- _7 m8 }+ i         $this->maxsize = $DT['uploadsize'] ? $DT['uploadsize']*1024 : 2048*1024; ! Q2 X2 x5 G8 I9 h1 P& S" m

        $this->savepath = $savepath;

        $this->savename = $savename; 5 j4 Q3 X( b9 I9 r* D2 [

    }} D' A; C1 ?4 e. L4 d; |

2 b: [ W6 d6 G6 d5 k) a 这里通过foreach($_file as $file)来遍历初始化各项参数。而savepath、savename则是通过__construct($_file, $savepath, $savename = '', $fileformat = '')直接传入参数指定。

5 N* }$ Y# f" c; A7 s! S

因此考虑上传了两个文件，第一个文件名是1.php，第二个文件是1.jpg，只要构造合理的表单上传（参考：https://www.cnblogs.com/DeanChopper/p/4673577.html），则在avatar.inc.php中

4 z8 U* U5 ?( l/ w. i, \0 f

z7 @2 M6 C$ C# ` $ext = file_ext($_FILES['file']['name']); // `$ext`即为`php` $name = 'avatar'.$_userid.'.'.$ext; // $name 为 'avatar'.$_userid.'.'php'$file = DT_ROOT.'/file/temp/'.$name; // $file 即为 xx/xx/xx/xx.php

( W/ Q$ u% ^" ]0 v/ Q3 w: l5 Y 而在upload类中，由于多个文件上传，$this->file、$this->file_name、$this->file_type将foreach在第二次循环中被置为jpg文件。测试如下： 3 B4 g1 |) D) y r

* k" d! N) P& ?$ t. n5 A$ w  

, {' r3 N: }( s$ Q

. \7 ]* u. f( K( N' @ 回到avatar.inc.php，当进行文件保存时调用$upload->save()，include/upload.class.php:50:

<?phpclass upload { 1 K5 P+ t* T9 X3 d& }

2 H- A1 S) r2 M: k* `     function save() {

6 {- Y( b/ u1 t, m! E: y% d3 \( u9 H         include load('include.lang');

+ K& {+ {. W4 @% O% S

        if($this->file_error) return $this->_('Error(21)'.$L['upload_failed'].' ('.$L['upload_error_'.$this->file_error].')'); + R7 g1 Z6 h( G& s

# T4 O1 L) H" N9 B; J0 n

 

        if($this->maxsize > 0 && $this->file_size > $this->maxsize) return $this->_('Error(22)'.$L['upload_size_limit'].' ('.intval($this->maxsize/1024).'Kb)');

  T# q3 y W# r( a) d8 y0 v

        if(!$this->is_allow()) return $this->_('Error(23)'.$L['upload_not_allow']); ! \$ U& ?( `+ c' }3 g2 z' `; c

4 W* j7 N$ W( T H

  4 u8 v5 N0 Z* u8 k; c0 M" |

        $this->set_savepath($this->savepath);

! g3 u$ l6 G" r. o& k5 U4 j

        $this->set_savename($this->savename); $ _( Y; V$ b, |% j

6 W# r3 O: N3 D: I  

( f `! P( e/ D2 m         if(!is_writable(DT_ROOT.'/'.$this->savepath)) return $this->_('Error(24)'.$L['upload_unwritable']); . {/ Z! l8 e8 i: X8 k1 }

- P; y. {) d+ t" q1 V! h

        if(!is_uploaded_file($this->file)) return $this->_('Error(25)'.$L['upload_failed']);

9 s0 I8 \( T: \: Y# s3 m

1 n% O7 O2 i9 I1 \& B: N6 I         if(!move_uploaded_file($this->file, DT_ROOT.'/'.$this->saveto)) return $this->_('Error(26)'.$L['upload_failed']); * J* [0 S4 n, G ]7 [! j

$ {+ W7 }/ v8 ^

 

0 O1 k5 I, P& K- d         $this->image = $this->is_image();

+ r: ?8 C9 I+ g         if(DT_CHMOD) @chmod(DT_ROOT.'/'.$this->saveto, DT_CHMOD);

        return true;

& u1 \3 T9 e3 x' V; g! C     }} . o% r% Y V1 ?! L$ I8 x7 a( j

% P; W# A: q$ B1 L: t8 o, t: A$ k 先经过几个基本参数的检查，然后调用$this->is_allow()来进行安全检查 include/upload.class.php:72：

% C' \! i1 e' B0 r <?php

9 k' f; _ n/ X+ `( |: t     function is_allow() { ( {$ W0 m9 a2 J6 T+ U0 q

, ]0 j! r8 k' w& W         if(!$this->fileformat) return false;

+ X! |; b, @) n' Q- P

4 g. V* ?' E7 B         if(!preg_match("/^(".$this->fileformat.")$/i", $this->ext)) return false;

        if(preg_match("/^(php|phtml|php3|php4|jsp|exe|dll|cer|shtml|shtm|asp|asa|aspx|asax|ashx|cgi|fcgi|pl)$/i", $this->ext)) return false;

0 I. M1 n, b) I, |. e; r

$ Z2 ?3 o1 E, }         return true;

    }

可以看到这里仅仅对$this->ext进行了检查，如前此时$this->ext为jpg，检查通过。

5 [3 w* L X; X' E$ N 接着会进行真正的保存。通过$this->set_savepath($this->savepath); $this->set_savename($this->savename);设置了$this->saveto，然后通过move_uploaded_file($this->file, DT_ROOT.'/'.$this->saveto)将file保存到$this->saveto ，注意此时的savepath、savename、saveto均以php为后缀，而$this->file实际指的是第二个jpg文件。 ; M7 m- N6 W" c0 E0 `0 F! M6 \

2 b; W6 ^/ Z7 v' o7 l

漏洞利用

综上，上传两个文件，其中第一个文件以php为结尾如1.php，用于设置后缀名为php；第二个文件为1.jpg，jpg用于绕过检测，其内容为php一句话木马(图片马)。

  p% a X3 r8 |2 C8 F' ~

$ u6 d1 c {8 C5 h, d. h* S

7 N+ w' _! l* T- K 然后访问http://127.0.0.1/file/temp/avatar1.php 即可。其中1是自己的_userid . x: I B& C1 l% @6 w. E+ I1 i

不过实际利用上会有一定的限制。 0 a8 i; c' r% x1 _4 @! k' ?

) U ^! w# ~8 O& ]( } 第一点是destoon使用了伪静态规则，限制了file目录下php文件的执行。

 

0 q* v, A8 Q7 M

第二点是avatar.inc.php中在$upload->save()后，会再次对文件进行检查，然后重命名为xx.jpg： . Z1 g/ D3 _0 @

$ M# g- Q. k4 h 省略...$img = array();$img[1] = $dir.'.jpg';$img[2] = $dir.'x48.jpg';$img[3] = $dir.'x20.jpg';$md5 = md5($_username);$dir = DT_ROOT.'/file/avatar/'.substr($md5, 0, 2).'/'.substr($md5, 2, 2).'/_'.$_username;$img[4] = $dir.'.jpg';$img[5] = $dir.'x48.jpg';$img[6] = $dir.'x20.jpg';file_copy($file, $img[1]);file_copy($file, $img[4]);省略...

1 p. d0 B0 D- X" |" |7 v" O

因此要利用成功就需要条件竞争了。

/ s" k( w* \& F$ O7 z7 `1 f, z Q1 Z 补丁分析 . |0 M, ?7 L8 ~9 p" _8 a

  2 @8 Y4 j0 y' H* B0 _

在upload的一开始，就进行一次后缀名的检查。其中is_image如下：

$ d7 p0 z6 g/ d* a6 p

function is_image($file) {    return preg_match("/^(jpg|jpeg|gif|png|bmp)$/i", file_ext($file));}

6 W. ~2 b% `1 p2 s" ~. [4 w   0 z# b% C3 {3 U) E- M4 P

在__construct()的foreach中使用了break，获取了第一个文件后就跳出循环。 8 K$ j& i2 h L

_* K: X( x" U5 F

在is_allow()中增加对$this->savename的二次检查。

最后

1 V( ?( N& c' F$ @

嘛，祝各位大师傅中秋快乐！