ThinkSNS 2.8任意文件上传漏洞及修复

admin

  微博上传图片时只在前端进行验证, 服务器端没有进行安全过滤。
7 P: N+ h3 z8 X2 {6 E

\api\StatusesApi.class.php

7 B2 M# l: K  H4 t1 Efunction uploadpic(){
      if( $_FILES['pic'] ){
0 l3 ^2 d$ D8 ?/ D: s     //执行上传操作
9 h, B% M! v- i. C/ Z2 a4 h3 z4 Q% a     $savePath =  $this->_getSaveTempPath();
     $filename = md5( time().'teste' ).'.'.substr($_FILES['pic']['name'],strpos($_FILES['pic']['name'],'.')+1);
# a+ W4 {7 }. M    if(@copy($_FILES['pic']['tmp_name'], $savePath.'/'.$filename) || @move_uploaded_file($_FILES['pic']['tmp_name'], $savePath.'/'.$filename))
4 u9 ^. Z+ Z0 o+ M       {
        $result['boolen']    = 1;
! L& c8 x. R- U" X) @        $result['type_data'] = 'temp/'.$filename;
8 E  @5 _8 X; ?& B        $result['picurl']    = SITE_PATH.'/uploads/temp/'.$filename;
' [% B9 @- n3 z) f4 S. o' D       } else {
) Z: g! L# \' l: w        $result['boolen']    = 0;
0 F, x) I" B" v8 e, w9 L        $result['message']   = '上传失败';
       }
& @* ^+ D/ D& m% }+ Z     }else{
) Y7 R7 I) j+ W+ x  V: X$ U- |         $result['boolen']    = 0;
         $result['message']   = '上传失败';
8 D7 k# v& P9 X     }
return $result;
    }
unloadpic()方法没有对文件类型进行验证

6 }, l4 o) |8 q+ M# R  d3 n5 k可以构建表单, 选择任意文件, 提交到
/index.php?app=w3g&mod=Index&act=doPost

& G3 }/ e" _9 L. x1 |) O7 n% S' k9 j在新提交的微博上可以找到上传的文件地址(去掉small_、middle_ 前缀)


在登录thinksns官方微博后,
构建以下表单:
6 e' c0 ^3 x2 J3 j, R
  Z2 o* l/ A- \# c<form action="http://t.thinksns.com/index.php?app=w3g&mod=Index&act=doPost" method="post" enctype="multipart/form-data" />
1 r% \4 u/ l* c. o9 ?' Y% ]9 b<textarea name="content">test</textarea>
file: <input id="file" type="file" name="pic" />
<input type="submit" value="Post" />
</form>
去掉缩略图的前缀(small_ )
​修复方案：


# ^8 ]; ?1 x# [2 h! Y\api\StatusesApi.class.php
' a. Q% L! w1 e! q9 t* _4 a7 r
function uploadpic(){
     /**
      * 20121018 @yelo
5 l: X3 s( z4 K1 i& G( }      * 增加上传类型验证
      */
     $pathinfo = pathinfo($_FILES['pic']['name']);
     $ext = $pathinfo['extension'];
4 S! P. t) y0 \8 _/ S' O& Z $allowExts = array('jpg', 'png', 'gif', 'jpeg');
# ?0 Z2 F" C2 e0 G& T
     $uploadCondition = $_FILES['pic'] && in_array(strtolower($ext),$allowExts,true);
. p; ^7 X9 H% x0 d1 Q- {% Q
7 C" @4 k# k2 `# ]     if( $uploadCondition ){
     //执行上传操作
2 H0 x$ L! @, b* ?9 [     $savePath =  $this->_getSaveTempPath();
     $filename = md5( time().'teste' ).'.'.substr($_FILES['pic']['name'],strpos($_FILES['pic']['name'],'.')+1);
* N# R' e5 u/ r    if(@copy($_FILES['pic']['tmp_name'], $savePath.'/'.$filename) || @move_uploaded_file($_FILES['pic']['tmp_name'], $savePath.'/'.$filename))
/ g% S8 W; L0 E' A: s- H( V       {
8 G& `! _& p. _. D$ Y- r6 I1 F        $result['boolen']    = 1;
        $result['type_data'] = 'temp/'.$filename;
6 Q% l9 ]4 t) H        $result['picurl']    = SITE_PATH.'/uploads/temp/'.$filename;
       } else {
$ a, R# B9 ~. Z; g        $result['boolen']    = 0;
  b% i7 ?) \' C        $result['message']   = '上传失败';
       }
     }else{
; }& U* z3 T! d3 T& M         $result['boolen']    = 0;
  K3 a5 i/ {% b6 Z2 g         $result['message']   = '上传失败';
' t' z* ]- q' J: e3 d+ i     }
6 D! F6 [( O; N& \/ u- Xreturn $result;
) G& ~6 D" ^, q( j$ Z    }
, v$ t- I5 H7 v5 w/ v5 [​
5 E# ~! W" c4 w
( S! ^* f% q( s5 c5 e2 h% q. {0 l7 s