ThinkSNS 2.8任意文件上传漏洞及修复

admin

  微博上传图片时只在前端进行验证, 服务器端没有进行安全过滤。
, |$ ?+ `9 |) F# W! i9 M; k

\api\StatusesApi.class.php

function uploadpic(){
. H% z! m# e. w6 W      if( $_FILES['pic'] ){
7 i" A" N0 T* P* c! w) L     //执行上传操作
     $savePath =  $this->_getSaveTempPath();
     $filename = md5( time().'teste' ).'.'.substr($_FILES['pic']['name'],strpos($_FILES['pic']['name'],'.')+1);
    if(@copy($_FILES['pic']['tmp_name'], $savePath.'/'.$filename) || @move_uploaded_file($_FILES['pic']['tmp_name'], $savePath.'/'.$filename))
       {
) y! u) l+ W8 P7 b& Q, t        $result['boolen']    = 1;
. o! @: A) K: J' C. D; H9 W        $result['type_data'] = 'temp/'.$filename;
2 l0 [$ K( z" J) v/ v        $result['picurl']    = SITE_PATH.'/uploads/temp/'.$filename;
7 {( @0 w3 k" a       } else {
        $result['boolen']    = 0;
- Y8 q9 e3 E' N: k: z2 V# Z3 x$ E4 \        $result['message']   = '上传失败';
; b4 n: M: U6 ^) t  n$ n1 Q/ P       }
     }else{
         $result['boolen']    = 0;
         $result['message']   = '上传失败';
     }
return $result;
    }
9 V, c! ]) ]0 f9 Y4 I: @- Z5 }unloadpic()方法没有对文件类型进行验证
6 G2 R3 E8 w2 k- v' `
可以构建表单, 选择任意文件, 提交到
/index.php?app=w3g&mod=Index&act=doPost
( q' e( J) q3 I* J
在新提交的微博上可以找到上传的文件地址(去掉small_、middle_ 前缀)


- R4 X1 l1 B% _- a% a在登录thinksns官方微博后,
构建以下表单:
, ~- r5 S1 |0 r9 D
<form action="http://t.thinksns.com/index.php?app=w3g&mod=Index&act=doPost" method="post" enctype="multipart/form-data" />
0 d; N6 G& x3 z/ K! m<textarea name="content">test</textarea>
file: <input id="file" type="file" name="pic" />
( Y8 A" ^) W, D<input type="submit" value="Post" />
</form>
去掉缩略图的前缀(small_ )
​修复方案：
2 f* ~# p9 w4 O5 c8 o. v; Z
* }% S* a3 s5 y$ u$ R
\api\StatusesApi.class.php
/ |# s, F, V& d  L" p& D- _: i2 s
, t# _1 x' d$ o3 j2 F2 Lfunction uploadpic(){
     /**
: @: P4 b! s8 w2 G      * 20121018 @yelo
/ a; l' D* q/ s4 q3 _" s      * 增加上传类型验证
      */
     $pathinfo = pathinfo($_FILES['pic']['name']);
5 Y' ]5 E2 A; m3 C! J& G     $ext = $pathinfo['extension'];
$allowExts = array('jpg', 'png', 'gif', 'jpeg');

     $uploadCondition = $_FILES['pic'] && in_array(strtolower($ext),$allowExts,true);
( J, g9 i( q0 l8 y
" ^# ?8 j5 A+ r) t     if( $uploadCondition ){
     //执行上传操作
     $savePath =  $this->_getSaveTempPath();
     $filename = md5( time().'teste' ).'.'.substr($_FILES['pic']['name'],strpos($_FILES['pic']['name'],'.')+1);
    if(@copy($_FILES['pic']['tmp_name'], $savePath.'/'.$filename) || @move_uploaded_file($_FILES['pic']['tmp_name'], $savePath.'/'.$filename))
       {
- X6 G3 o3 r* w        $result['boolen']    = 1;
, u2 I  [% E3 I% ?2 g0 H: z0 Z3 ~        $result['type_data'] = 'temp/'.$filename;
        $result['picurl']    = SITE_PATH.'/uploads/temp/'.$filename;
# m* N7 a# q! N; e" b5 b. ^       } else {
        $result['boolen']    = 0;
        $result['message']   = '上传失败';
       }
     }else{
) x6 j$ {1 B: x- N7 p5 \         $result['boolen']    = 0;
: V7 k9 ~: e/ L! i+ n5 @         $result['message']   = '上传失败';
     }
& H$ G" N  |3 K" d7 i) ^1 ~return $result;
    }
9 A* m+ {5 |& ]: T0 U​