ThinkSNS 2.8任意文件上传漏洞及修复

admin

  微博上传图片时只在前端进行验证, 服务器端没有进行安全过滤。


7 }8 C; ~2 K' m5 X4 x3 D\api\StatusesApi.class.php
: l; P0 J2 K# M! E
function uploadpic(){
& u. O9 E! T# d      if( $_FILES['pic'] ){
4 M4 M9 o2 ^2 f" }1 L# W7 w2 r     //执行上传操作
# X; E+ f! Z, Q5 p% k1 p0 e8 z' o     $savePath =  $this->_getSaveTempPath();
     $filename = md5( time().'teste' ).'.'.substr($_FILES['pic']['name'],strpos($_FILES['pic']['name'],'.')+1);
    if(@copy($_FILES['pic']['tmp_name'], $savePath.'/'.$filename) || @move_uploaded_file($_FILES['pic']['tmp_name'], $savePath.'/'.$filename))
/ {& Z# V3 A( l" x/ S       {
( H; M8 y& q: W5 y        $result['boolen']    = 1;
        $result['type_data'] = 'temp/'.$filename;
4 v0 g+ G9 _1 H/ P+ Z        $result['picurl']    = SITE_PATH.'/uploads/temp/'.$filename;
% e' V# _, |2 j% x       } else {
+ R2 `# @! ?# Y& h6 Z        $result['boolen']    = 0;
1 h. _* M% u4 L% x' _! [) |9 C2 b        $result['message']   = '上传失败';
       }
     }else{
5 D7 d* I/ M) m9 o" p! L         $result['boolen']    = 0;
; V7 r! ~3 c# r" ]1 t" A6 L6 n         $result['message']   = '上传失败';
     }
return $result;
    }
+ j( R( n4 j3 e. M4 tunloadpic()方法没有对文件类型进行验证

1 Q- s1 t) Y* C# M) P. L9 K可以构建表单, 选择任意文件, 提交到
4 k" R( a3 z% T) }. d/index.php?app=w3g&mod=Index&act=doPost

& _7 Y7 R$ g$ i8 ~$ S在新提交的微博上可以找到上传的文件地址(去掉small_、middle_ 前缀)

' W/ b: @+ c/ F9 @: W' n
+ ~1 g) ~7 P0 l/ e/ _8 }在登录thinksns官方微博后,
构建以下表单:
- A& p/ O+ p. `! u+ G7 D/ d
<form action="http://t.thinksns.com/index.php?app=w3g&mod=Index&act=doPost" method="post" enctype="multipart/form-data" />
: n( p1 S' h) n4 f9 S6 z' h* n; V* i<textarea name="content">test</textarea>
file: <input id="file" type="file" name="pic" />
<input type="submit" value="Post" />
' ]# W$ `5 z2 g5 t) w' l5 ~/ O" C8 j</form>
去掉缩略图的前缀(small_ )
​修复方案：


\api\StatusesApi.class.php

3 R6 O0 E  b( b! ofunction uploadpic(){
     /**
( ?% h5 N- d. G      * 20121018 @yelo
      * 增加上传类型验证
      */
     $pathinfo = pathinfo($_FILES['pic']['name']);
     $ext = $pathinfo['extension'];
/ s9 D3 }& n0 j# X) u) m! f; @3 ^5 W $allowExts = array('jpg', 'png', 'gif', 'jpeg');

: B# I7 o' O  _) z     $uploadCondition = $_FILES['pic'] && in_array(strtolower($ext),$allowExts,true);

     if( $uploadCondition ){
/ g  `6 g' J) d' x% z1 J     //执行上传操作
     $savePath =  $this->_getSaveTempPath();
% M* A2 O; E- t# e# B     $filename = md5( time().'teste' ).'.'.substr($_FILES['pic']['name'],strpos($_FILES['pic']['name'],'.')+1);
    if(@copy($_FILES['pic']['tmp_name'], $savePath.'/'.$filename) || @move_uploaded_file($_FILES['pic']['tmp_name'], $savePath.'/'.$filename))
       {
# ?/ ]/ i! K$ J* k7 N9 k7 e  l) Y        $result['boolen']    = 1;
, l: Y  {1 D3 _$ Z- _$ V        $result['type_data'] = 'temp/'.$filename;
( R3 B) J& R. M# \        $result['picurl']    = SITE_PATH.'/uploads/temp/'.$filename;
       } else {
( S+ u# z' b# X' y3 G1 h( S4 W: Q        $result['boolen']    = 0;
        $result['message']   = '上传失败';
       }
4 g0 q  M* l4 Z/ P! j     }else{
         $result['boolen']    = 0;
- f2 m2 m( b; d, O7 V         $result['message']   = '上传失败';
' {1 R4 d0 u# J7 ]: h7 z     }
return $result;
1 a% x& J) R  r0 x. S    }
​