ThinkSNS 2.8任意文件上传漏洞及修复

admin

  微博上传图片时只在前端进行验证, 服务器端没有进行安全过滤。


\api\StatusesApi.class.php
: u7 k4 [" N% O6 i7 d
function uploadpic(){
      if( $_FILES['pic'] ){
6 r  t9 C; _" `% k8 z$ L" U     //执行上传操作
. K8 L( K; ?- I+ {/ F0 @: R     $savePath =  $this->_getSaveTempPath();
7 _1 n$ B/ u7 j/ b% q, P& m     $filename = md5( time().'teste' ).'.'.substr($_FILES['pic']['name'],strpos($_FILES['pic']['name'],'.')+1);
# L) _$ Z* G8 x* _    if(@copy($_FILES['pic']['tmp_name'], $savePath.'/'.$filename) || @move_uploaded_file($_FILES['pic']['tmp_name'], $savePath.'/'.$filename))
       {
& [) l8 V- k) O& R        $result['boolen']    = 1;
        $result['type_data'] = 'temp/'.$filename;
, B7 \' A! f+ e. f8 q& V        $result['picurl']    = SITE_PATH.'/uploads/temp/'.$filename;
       } else {
$ B& U9 w& N5 x9 n9 J9 j! E        $result['boolen']    = 0;
2 T- G# q( U7 g! y. X9 h        $result['message']   = '上传失败';
. N- h) I5 V7 Z* p       }
     }else{
         $result['boolen']    = 0;
         $result['message']   = '上传失败';
     }
3 W. |+ B$ A, r; S1 t. R' Oreturn $result;
    }
unloadpic()方法没有对文件类型进行验证
4 O' N" j, i/ I  J( x2 Z+ a
可以构建表单, 选择任意文件, 提交到
% J& l% q5 R! W7 r5 B/index.php?app=w3g&mod=Index&act=doPost

在新提交的微博上可以找到上传的文件地址(去掉small_、middle_ 前缀)
6 _) E8 c+ F1 F, T3 O( p6 }5 A
2 {& L8 c. Z+ D, s  l* U# l
在登录thinksns官方微博后,
3 E' m7 }& c: I: |% |; Y6 ^构建以下表单:
  o& g2 L$ l6 E1 l7 ^
<form action="http://t.thinksns.com/index.php?app=w3g&mod=Index&act=doPost" method="post" enctype="multipart/form-data" />
<textarea name="content">test</textarea>
file: <input id="file" type="file" name="pic" />
<input type="submit" value="Post" />
</form>
6 F9 q1 |' s: R7 W# y去掉缩略图的前缀(small_ )
​修复方案：
  I' ?2 r9 v& u% D* r
- w8 B% Y" Q3 t8 M
1 G7 e( T0 _2 I( m; o9 v\api\StatusesApi.class.php
/ N) T1 D3 y) h6 r( _
9 t( l/ `0 |1 E5 t' n( S7 O* g: ufunction uploadpic(){
" A& f' y7 W1 N2 l; A     /**
      * 20121018 @yelo
) m' h' O4 `; ?5 b% H      * 增加上传类型验证
! }" E8 d: x% n- z. u% h      */
* N7 X/ g8 R$ X- h0 D     $pathinfo = pathinfo($_FILES['pic']['name']);
8 l# h- H$ q' ?2 G     $ext = $pathinfo['extension'];
' h* ]. {: Z5 _( [9 `2 S $allowExts = array('jpg', 'png', 'gif', 'jpeg');
/ n/ l% h6 ?( ?! W. ]) `
     $uploadCondition = $_FILES['pic'] && in_array(strtolower($ext),$allowExts,true);

9 T* Y: |/ m7 }: v$ x     if( $uploadCondition ){
     //执行上传操作
     $savePath =  $this->_getSaveTempPath();
  g3 F$ B7 G" @7 p% W7 ^6 J4 p     $filename = md5( time().'teste' ).'.'.substr($_FILES['pic']['name'],strpos($_FILES['pic']['name'],'.')+1);
& c* q1 C' B5 E% S    if(@copy($_FILES['pic']['tmp_name'], $savePath.'/'.$filename) || @move_uploaded_file($_FILES['pic']['tmp_name'], $savePath.'/'.$filename))
; e$ {$ Z) S9 I       {
* }+ a9 v. ^+ I        $result['boolen']    = 1;
        $result['type_data'] = 'temp/'.$filename;
) ~2 k7 z+ p$ d- `, v        $result['picurl']    = SITE_PATH.'/uploads/temp/'.$filename;
       } else {
# y' c- }  B4 D% t' ^        $result['boolen']    = 0;
        $result['message']   = '上传失败';
       }
     }else{
: N5 M/ l9 d0 F( q: h: H         $result['boolen']    = 0;
         $result['message']   = '上传失败';
     }
0 j4 e: g0 {4 U, treturn $result;
    }
​
* [0 n# f0 |' V( Y
: F- V' k, h- z1 R