ThinkSNS 2.8任意文件上传漏洞及修复

admin

  微博上传图片时只在前端进行验证, 服务器端没有进行安全过滤。

  U& D* j3 g% m, j' j, c
\api\StatusesApi.class.php
: @& I2 a" ^& G! I5 E1 S
; w9 O0 Z& r6 s# hfunction uploadpic(){
  |0 j5 d9 ~, W+ a      if( $_FILES['pic'] ){
     //执行上传操作
     $savePath =  $this->_getSaveTempPath();
     $filename = md5( time().'teste' ).'.'.substr($_FILES['pic']['name'],strpos($_FILES['pic']['name'],'.')+1);
    if(@copy($_FILES['pic']['tmp_name'], $savePath.'/'.$filename) || @move_uploaded_file($_FILES['pic']['tmp_name'], $savePath.'/'.$filename))
       {
        $result['boolen']    = 1;
        $result['type_data'] = 'temp/'.$filename;
        $result['picurl']    = SITE_PATH.'/uploads/temp/'.$filename;
6 u. a% j+ [1 N       } else {
+ |3 ]& \. B* Q3 |" ?! g' O' f        $result['boolen']    = 0;
        $result['message']   = '上传失败';
- `, k- s6 o. _' t# I( J       }
     }else{
         $result['boolen']    = 0;
         $result['message']   = '上传失败';
% T" A5 @8 t" X# k+ R     }
2 {2 D7 d; _6 j5 Wreturn $result;
    }
  |* \/ }; o8 S8 Dunloadpic()方法没有对文件类型进行验证

可以构建表单, 选择任意文件, 提交到
/index.php?app=w3g&mod=Index&act=doPost
- R+ G  q8 T! @9 H  g3 @
在新提交的微博上可以找到上传的文件地址(去掉small_、middle_ 前缀)


在登录thinksns官方微博后,
2 T3 {0 J+ u  I6 b构建以下表单:
' r6 ?2 k$ B: T8 ~1 \3 A. C3 |
' ?; v1 K% [& v4 {8 l8 G<form action="http://t.thinksns.com/index.php?app=w3g&mod=Index&act=doPost" method="post" enctype="multipart/form-data" />
<textarea name="content">test</textarea>
) o" \2 H, {9 N: P/ @file: <input id="file" type="file" name="pic" />
' }, k" J( C" E. V8 b4 i<input type="submit" value="Post" />
: {, T+ S, a9 q# A3 ~" c5 v</form>
去掉缩略图的前缀(small_ )
​修复方案：


6 \5 q  \$ S# }% u8 ?, J\api\StatusesApi.class.php

function uploadpic(){
     /**
- ?4 n( ^' {, `% n) e5 `1 Q      * 20121018 @yelo
      * 增加上传类型验证
      */
( p. ?$ [( h( t7 a# B1 W$ L! C     $pathinfo = pathinfo($_FILES['pic']['name']);
     $ext = $pathinfo['extension'];
$allowExts = array('jpg', 'png', 'gif', 'jpeg');

     $uploadCondition = $_FILES['pic'] && in_array(strtolower($ext),$allowExts,true);
5 g7 t/ n" l1 O5 @
     if( $uploadCondition ){
( b, ?1 j- D1 @4 K% O, a4 Z0 Y$ M     //执行上传操作
     $savePath =  $this->_getSaveTempPath();
0 x' s2 F% L  E% X- z. V9 _# U4 W     $filename = md5( time().'teste' ).'.'.substr($_FILES['pic']['name'],strpos($_FILES['pic']['name'],'.')+1);
0 S" B8 e. D& p    if(@copy($_FILES['pic']['tmp_name'], $savePath.'/'.$filename) || @move_uploaded_file($_FILES['pic']['tmp_name'], $savePath.'/'.$filename))
       {
        $result['boolen']    = 1;
7 i" k# P5 x: H# J- k& a        $result['type_data'] = 'temp/'.$filename;
  Z# G3 `! V8 o  ^        $result['picurl']    = SITE_PATH.'/uploads/temp/'.$filename;
- e- Y3 s6 D8 H3 Z7 C2 L3 Q       } else {
3 f3 g& \$ w' e        $result['boolen']    = 0;
' l, j2 q" k/ `8 t4 c$ D. M        $result['message']   = '上传失败';
$ j: x: F# l1 g4 Q' g1 D       }
     }else{
         $result['boolen']    = 0;
; |$ z4 x$ H( j: ?% T         $result['message']   = '上传失败';
& Z. z( Z+ Y8 C# o     }
0 d8 W% C: j( X% ^3 ureturn $result;
- |: o! c) s' ^# m( {    }
7 K) g" G5 U" l& u$ \/ e! P​