ThinkSNS 2.8任意文件上传漏洞及修复

admin

  微博上传图片时只在前端进行验证, 服务器端没有进行安全过滤。

1 f' ^9 X4 ^3 m6 g( K
2 k. ]/ [. y- M- M1 ~, i\api\StatusesApi.class.php

function uploadpic(){
      if( $_FILES['pic'] ){
! O% U$ L+ o$ p1 x. Q  Q* Y     //执行上传操作
     $savePath =  $this->_getSaveTempPath();
0 R/ F8 q8 l. Q5 x' D3 I     $filename = md5( time().'teste' ).'.'.substr($_FILES['pic']['name'],strpos($_FILES['pic']['name'],'.')+1);
* {7 T( a# u2 j4 X    if(@copy($_FILES['pic']['tmp_name'], $savePath.'/'.$filename) || @move_uploaded_file($_FILES['pic']['tmp_name'], $savePath.'/'.$filename))
8 P# x  }* |2 M+ b3 P1 I       {
$ N/ H4 a* S9 X5 y        $result['boolen']    = 1;
        $result['type_data'] = 'temp/'.$filename;
- P! A4 P8 m. i  s5 j' L' ^$ h: x# Y( h% B        $result['picurl']    = SITE_PATH.'/uploads/temp/'.$filename;
       } else {
        $result['boolen']    = 0;
        $result['message']   = '上传失败';
$ w/ V+ _2 Z9 x: Q3 B5 G       }
5 Z1 j2 W0 ]8 m7 h     }else{
  d1 p# `/ k2 q         $result['boolen']    = 0;
5 y9 N7 v4 l( `' Q+ i" I         $result['message']   = '上传失败';
     }
" ^+ g+ P% R. m* ]return $result;
    }
unloadpic()方法没有对文件类型进行验证

2 x+ U6 l8 h, ?& U% D, E# [0 d可以构建表单, 选择任意文件, 提交到
& F. T3 E  r, l' ]" W/index.php?app=w3g&mod=Index&act=doPost
1 f7 ?0 x/ r3 ~# |( }) l2 U+ ?! [
在新提交的微博上可以找到上传的文件地址(去掉small_、middle_ 前缀)


在登录thinksns官方微博后,
构建以下表单:

6 G' ]$ u6 ^2 i' F<form action="http://t.thinksns.com/index.php?app=w3g&mod=Index&act=doPost" method="post" enctype="multipart/form-data" />
<textarea name="content">test</textarea>
file: <input id="file" type="file" name="pic" />
% w! j' D8 |* f( o" P% Z<input type="submit" value="Post" />
</form>
4 F7 b4 `; z& P3 `, T- S去掉缩略图的前缀(small_ )
​修复方案：

% }/ d" x' G: A7 z% \& A' Y3 a% j
\api\StatusesApi.class.php

& E# m3 a" {' H. s3 E0 ifunction uploadpic(){
/ y9 m% g; v( @2 F, h     /**
      * 20121018 @yelo
4 C" H$ n; {" d' b/ o5 g5 \* ]% v      * 增加上传类型验证
, I9 N) g: R; Z      */
0 ]$ C' i* F7 [! |6 }1 L     $pathinfo = pathinfo($_FILES['pic']['name']);
     $ext = $pathinfo['extension'];
7 c) ^6 b  M* E/ I# H- @7 o $allowExts = array('jpg', 'png', 'gif', 'jpeg');
  d* L2 h% m- Q4 ?% }
     $uploadCondition = $_FILES['pic'] && in_array(strtolower($ext),$allowExts,true);

     if( $uploadCondition ){
2 a# g4 n0 E6 ^$ k+ t- K6 u  J     //执行上传操作
     $savePath =  $this->_getSaveTempPath();
( ^: [7 O1 n+ }$ A# j     $filename = md5( time().'teste' ).'.'.substr($_FILES['pic']['name'],strpos($_FILES['pic']['name'],'.')+1);
. e* q3 y5 b" l3 c3 F: X    if(@copy($_FILES['pic']['tmp_name'], $savePath.'/'.$filename) || @move_uploaded_file($_FILES['pic']['tmp_name'], $savePath.'/'.$filename))
       {
- D& T0 O3 a: b& O7 F$ W/ l* T        $result['boolen']    = 1;
        $result['type_data'] = 'temp/'.$filename;
' e, }) ^/ Y4 m        $result['picurl']    = SITE_PATH.'/uploads/temp/'.$filename;
       } else {
        $result['boolen']    = 0;
: A5 j/ u9 |+ q; G        $result['message']   = '上传失败';
/ d: N3 y7 O" f0 o       }
     }else{
1 |. v. x, p$ R2 j         $result['boolen']    = 0;
         $result['message']   = '上传失败';
/ B0 a+ _# q3 K: v8 X     }
9 q4 F) W1 x6 L) a3 [: a; @* L+ O. ?return $result;
    }
& N( z& v$ h/ G1 i​
' N9 m0 I+ G( [
) o: a& A1 V8 V5 }, I4 W' V9 l