Destoon cms前台getwebshell

admin

6 L# @. O* v( t* D1 b) l3 o

7 U- w# v& |5 ]7 Z5 S. z, \0 l

2 k7 d$ S' T; l/ ?9 Z3 n

前言

; M. t# K3 n$ V7 A6 T2 @

) b/ z. L4 P2 E. a+ Q 2018年9月21日，Destoon官方发布安全更新，修复了由用户“索马里的海贼”反馈的一个漏洞。

  " D) d0 q; |* G, M

1 @3 n G' b$ L1 r

漏洞分析 1 V' v9 d J% A- q0 R

# X- [* `% P# Z) W: {/ P0 y

2 [; H0 I! A& {) U0 o: C 根据更新消息可知漏洞发生在头像上传处。Destoon中处理头像上传的是 module/member/avatar.inc.php 文件。在会员中心处上传头像时抓包，部分内容如下：

- Q% x: V! }1 E% A" j6 I

  s( T- ]0 A, y, U) K

4 V: Z* b# P( [ 对应着avatar.inc.php代码如下：

<?php defined('IN_DESTOON') or exit('Access Denied');login();require DT_ROOT.'/module/'.$module.'/common.inc.php';require DT_ROOT.'/include/post.func.php';$avatar = useravatar($_userid, 'large', 0, 2);switch($action) { # H8 w' a& y2 Y! H6 r

# ]7 Q$ r7 S* |" q n

% Y0 E$ h. c2 f     case 'upload': : t) R! S0 H( \

        if(!$_FILES['file']['size']) { : d! W& R9 f# S: }

7 t; }" e, Y9 O

8 w5 G0 R' F8 ]4 H& C             if($DT_PC) dheader('?action=html&reload='.$DT_TIME);

- a5 r" z" `3 y# Z7 {* Q

7 ]3 X0 ~% r" L, W( f8 @             exit('{"error":1,"message":"Error FILE"}'); 4 [0 a+ ~" ]" p9 C7 M u; L" P

# r. P+ m& f& U5 f% ]         }

0 K9 @$ b6 S. o2 m

        require DT_ROOT.'/include/upload.class.php';

 

8 j4 e0 f, _' p6 v+ I. E; @

        $ext = file_ext($_FILES['file']['name']); ( ]' A% Z. O; r' _( ^) S4 S

$ @5 q& r- F; f* T9 Q* X5 N3 N

9 x7 r/ q# C7 p( x         $name = 'avatar'.$_userid.'.'.$ext;

        $file = DT_ROOT.'/file/temp/'.$name;

5 g O+ ]* N+ a4 d0 H! q9 m  

: _* H' k, \2 ?         if(is_file($file)) file_del($file); / _; S0 \/ n" i$ I# n5 t: c/ p5 p

( P* V7 P8 B3 o: l

' I$ o- y. J9 K' G2 _# }         $upload = new upload($_FILES, 'file/temp/', $name, 'jpg|jpeg|gif|png');

) [3 {& |) o& v0 {  

' \4 T8 }& n5 [- ]2 e0 o+ A+ s         $upload->adduserid = false;

& P, O# V! ?4 s1 K) A3 d   2 W6 J2 k2 I' }* |. _. ?% ?0 s

1 ?+ h) {% W4 d: d' l y6 @: I

8 x' I+ O, A2 T6 @         if($upload->save()) {

            ... z0 r! @5 c. u

        } else {

3 e7 X* [5 s; z& a) k1 } h" ~             ... - Y) _3 p% S, u9 i

" }. ]- N1 Q+ y3 V; ]( t

        } 0 W5 _1 z# v1 ^4 ?5 a" R: r' o; l

* i. e# O0 G s$ u# J+ s; V

    break;

这里通过$_FILES['file']依次获取了上传文件扩展名$ext、保存临时文件名$name、保存临时文件完整路径$file变量。之后通过new upload();创立一个upload对象，等到$upload->save()时再将文件真正写入。 ( ^* H+ O `* V7 {! W% X7 d! Q

, P4 v1 O9 f) G" V

, [2 a; k1 T& s4 U" M/ H: ]. H Y7 e6 s upload对象构造函数如下，include/upload.class.php:25： / y" \2 I: y$ J2 @) ~

0 V% r+ a! C' q6 t, ] <?phpclass upload {

8 b9 B+ s+ F6 c5 y5 l

, O# s* A( v: k     function __construct($_file, $savepath, $savename = '', $fileformat = '') { " N1 _4 j, {# o. ]

$ A7 `% L5 t* G; F, x9 D

, `+ v& E3 y; b M# A6 }         global $DT, $_userid;

3 K1 m) H J& n4 Y         foreach($_file as $file) { - a' U% }, q8 r2 Q; n: o0 m5 q

- u& [8 f8 ]. R5 U {

( G" z4 q A+ {( c+ z             $this->file = $file['tmp_name'];

! p; W# h0 l$ |6 A5 [$ I

            $this->file_name = $file['name']; 4 w1 h+ L6 U5 Q7 }8 w

4 ?4 K" e9 P3 C# \             $this->file_size = $file['size']; & u L$ X: p. }

            $this->file_type = $file['type'];

9 ]3 C9 I& r3 o6 [+ R

            $this->file_error = $file['error'];

i4 H O! E( n% E8 g

  ) \3 F+ E2 A m2 C* a9 `' y. \

" ~) \* f6 M) \" t7 s( g

        }

& ?. ?# S, V& e$ _. s9 M

* h( h+ C$ N" \" Z         $this->userid = $_userid;

4 z* V1 Z. M$ r4 I$ _. U         $this->ext = file_ext($this->file_name);

7 Y3 ]7 A2 ] Z/ d( p

g# B6 i% J' X" P* r         $this->fileformat = $fileformat ? $fileformat : $DT['uploadtype']; : } d% [% L+ O0 ~

        $this->maxsize = $DT['uploadsize'] ? $DT['uploadsize']*1024 : 2048*1024;

4 [- P1 ~9 ~* l0 I- J: `

        $this->savepath = $savepath; ! h8 D0 Y7 n! W: A

4 A( x# c: o5 M$ ]8 I( W

        $this->savename = $savename; 3 o# e, w) K2 n5 b( \

    }}

这里通过foreach($_file as $file)来遍历初始化各项参数。而savepath、savename则是通过__construct($_file, $savepath, $savename = '', $fileformat = '')直接传入参数指定。 W' d$ K- a+ b4 I: I

; h; v, F$ @4 T! O

$ Y9 R+ v$ X/ m! ] 因此考虑上传了两个文件，第一个文件名是1.php，第二个文件是1.jpg，只要构造合理的表单上传（参考：https://www.cnblogs.com/DeanChopper/p/4673577.html），则在avatar.inc.php中

$ext = file_ext($_FILES['file']['name']); // `$ext`即为`php` $name = 'avatar'.$_userid.'.'.$ext; // $name 为 'avatar'.$_userid.'.'php'$file = DT_ROOT.'/file/temp/'.$name; // $file 即为 xx/xx/xx/xx.php

! s1 `0 D9 u! R: L' i) ~

' S9 p& R4 e: A" b6 n/ N 而在upload类中，由于多个文件上传，$this->file、$this->file_name、$this->file_type将foreach在第二次循环中被置为jpg文件。测试如下：

$ J# {! o( O0 A' |7 K' e9 W  

6 K1 W, A0 d$ t% u9 l% H 回到avatar.inc.php，当进行文件保存时调用$upload->save()，include/upload.class.php:50: & c Q$ u7 ~6 g2 m/ K* J+ R

n% I1 ^( r8 w

<?phpclass upload {

1 r( ~0 q9 S; k- e: U$ s/ t4 d

    function save() { 3 b: F1 z1 g: x/ h$ H8 W( i# Q7 Y' k* a

( e, J' C( ]! V3 o: o& \5 `3 g

) F$ c( ~/ u; g1 S+ w$ m0 @         include load('include.lang'); 2 s+ H/ j, }, J5 x6 d. O9 |

( T# C+ z; ~: t0 I

+ T( X# b$ ]( i! E8 L         if($this->file_error) return $this->_('Error(21)'.$L['upload_failed'].' ('.$L['upload_error_'.$this->file_error].')');

- o8 I" g! r, _2 e# e

( f. M) C& b1 C# \+ F  

3 u- ~9 h7 W: J9 O5 m! v         if($this->maxsize > 0 && $this->file_size > $this->maxsize) return $this->_('Error(22)'.$L['upload_size_limit'].' ('.intval($this->maxsize/1024).'Kb)');

  4 R3 U- \4 h" W0 t/ x0 N

- C* }3 ?' V% k( g* x         if(!$this->is_allow()) return $this->_('Error(23)'.$L['upload_not_allow']);

, Q: W8 g2 O, u9 |+ w

  ! k" I7 [1 K O# ^$ Y

" ~2 z7 t& t! l% R$ b) \

) B8 x. h# F8 P         $this->set_savepath($this->savepath);

, A+ {) k( p+ N4 e Y         $this->set_savename($this->savename); ! T' t& _0 D4 _& t4 w3 B

' S' e3 ?% m+ i$ E

* y8 u1 ^, n7 p1 z. l! c  

' M- q4 H# b0 L6 @: W1 @+ o8 c3 V* O         if(!is_writable(DT_ROOT.'/'.$this->savepath)) return $this->_('Error(24)'.$L['upload_unwritable']);

        if(!is_uploaded_file($this->file)) return $this->_('Error(25)'.$L['upload_failed']); ! h7 [) \* O" f' o( a

% `7 n: K. G* y. Q8 w/ n

4 g8 p7 t( j& t8 h0 r         if(!move_uploaded_file($this->file, DT_ROOT.'/'.$this->saveto)) return $this->_('Error(26)'.$L['upload_failed']); 4 j2 H7 D! v9 n9 J

' j1 u+ S n% S; G

* h: S( Z$ j8 U7 @6 s' o2 ~  

- ?: ?' d& A9 t+ e

        $this->image = $this->is_image();

        if(DT_CHMOD) @chmod(DT_ROOT.'/'.$this->saveto, DT_CHMOD); 5 C$ i( O2 N( K: J) h: ]+ ~

) k# d, w( H q

        return true; % y& |* E6 N$ |

. C% r2 r' A, B2 ~+ `; o

    }} " _# Q' p1 B1 a" z p4 F7 c/ k

先经过几个基本参数的检查，然后调用$this->is_allow()来进行安全检查 include/upload.class.php:72：

<?php

7 _2 Q2 O: \# C. b6 u( s: T     function is_allow() {

( n H3 J F5 Y" f5 w, S

        if(!$this->fileformat) return false; " \) T: d7 K2 d/ I$ O0 q, U/ b# u

# h# n+ {" d( S5 N1 {" }( {0 H         if(!preg_match("/^(".$this->fileformat.")$/i", $this->ext)) return false; 3 }; K0 h1 n5 r

9 R8 C2 Y( s) d, n5 f" q, d

s2 S; J" P. p3 T9 G: s% g3 R+ G         if(preg_match("/^(php|phtml|php3|php4|jsp|exe|dll|cer|shtml|shtm|asp|asa|aspx|asax|ashx|cgi|fcgi|pl)$/i", $this->ext)) return false;

- ~9 C- ?9 ^. O8 o J" K

        return true;

    } ; r4 @8 x: C! x' j8 f, M

& [. L# O8 C7 ]. {9 } r

可以看到这里仅仅对$this->ext进行了检查，如前此时$this->ext为jpg，检查通过。

F5 o; Z' S; A) V' ~3 A S" R+ N

: j0 A) c2 X+ G 接着会进行真正的保存。通过$this->set_savepath($this->savepath); $this->set_savename($this->savename);设置了$this->saveto，然后通过move_uploaded_file($this->file, DT_ROOT.'/'.$this->saveto)将file保存到$this->saveto ，注意此时的savepath、savename、saveto均以php为后缀，而$this->file实际指的是第二个jpg文件。

. v: U1 ~: k# y: A

漏洞利用

7 ]3 N! r& }9 ?3 q* Q

" }; r2 S) V4 y 综上，上传两个文件，其中第一个文件以php为结尾如1.php，用于设置后缀名为php；第二个文件为1.jpg，jpg用于绕过检测，其内容为php一句话木马(图片马)。 ' Y7 |: |" t3 `

, r- j, z( S3 g# n$ i   8 T7 x# V+ u8 c( J) o

然后访问http://127.0.0.1/file/temp/avatar1.php 即可。其中1是自己的_userid

2 g* N* D$ I5 I! |" k; m6 V

不过实际利用上会有一定的限制。

4 D& |6 N, A& S. K @; e 第一点是destoon使用了伪静态规则，限制了file目录下php文件的执行。

  / q( S4 }0 S" o2 Y

$ `1 ], M$ a# Y# T$ M

/ N I D& L/ q k" t8 z( N, q 第二点是avatar.inc.php中在$upload->save()后，会再次对文件进行检查，然后重命名为xx.jpg：

& Z+ t' e* l" H" \8 i 省略...$img = array();$img[1] = $dir.'.jpg';$img[2] = $dir.'x48.jpg';$img[3] = $dir.'x20.jpg';$md5 = md5($_username);$dir = DT_ROOT.'/file/avatar/'.substr($md5, 0, 2).'/'.substr($md5, 2, 2).'/_'.$_username;$img[4] = $dir.'.jpg';$img[5] = $dir.'x48.jpg';$img[6] = $dir.'x20.jpg';file_copy($file, $img[1]);file_copy($file, $img[4]);省略...

: N$ s/ m( M) F4 M

8 @3 @3 \8 s. l3 Y 因此要利用成功就需要条件竞争了。

% u. R6 E% d" @6 C+ ], `

补丁分析

& d$ ^* {6 F( x C7 O9 A( D

 

在upload的一开始，就进行一次后缀名的检查。其中is_image如下： . J! x# J* F' y* @- t/ ]

& c0 y9 \' q: B8 O* G' z. f( g

! D, I! P& T: G5 `( Y* [4 S function is_image($file) {    return preg_match("/^(jpg|jpeg|gif|png|bmp)$/i", file_ext($file));} # u: L% I. n7 t; k

 

! o- ^2 \& q: u9 P) p" n

在__construct()的foreach中使用了break，获取了第一个文件后就跳出循环。 2 m/ W1 e8 h5 h# f( }2 y

在is_allow()中增加对$this->savename的二次检查。

8 U; Q: d# b3 k' x% g, U V5 I. x2 m

最后 0 I4 c2 `1 q' U

9 d0 V$ _% y7 X

1 `/ R5 x' f! ]" x4 L! G 嘛，祝各位大师傅中秋快乐！

/ [7 g. I; q# K( E- O! f$ N

- I" ?& p9 Q2 d