ThinkSNS 2.8任意文件上传漏洞及修复

admin

  微博上传图片时只在前端进行验证, 服务器端没有进行安全过滤。
3 r; f8 t& e& y7 _' T. [: S
- _/ V0 V3 ^* m) w' `+ M
9 f  o1 ~& K1 \5 M4 T$ f9 a$ O! Z\api\StatusesApi.class.php

function uploadpic(){
      if( $_FILES['pic'] ){
. A2 I0 M3 X  Z% L' }     //执行上传操作
     $savePath =  $this->_getSaveTempPath();
- y" W1 f, i( R# e5 A2 {6 A! n     $filename = md5( time().'teste' ).'.'.substr($_FILES['pic']['name'],strpos($_FILES['pic']['name'],'.')+1);
    if(@copy($_FILES['pic']['tmp_name'], $savePath.'/'.$filename) || @move_uploaded_file($_FILES['pic']['tmp_name'], $savePath.'/'.$filename))
+ P2 h. w* i( A& |' @       {
        $result['boolen']    = 1;
        $result['type_data'] = 'temp/'.$filename;
$ a9 e0 s0 Z9 g        $result['picurl']    = SITE_PATH.'/uploads/temp/'.$filename;
       } else {
7 i7 ?7 f, `1 v6 y0 }* ^        $result['boolen']    = 0;
. j, \& @3 ]: e" ~8 f3 Y        $result['message']   = '上传失败';
1 Z' u0 ]: G. Z. ]3 F. _       }
     }else{
         $result['boolen']    = 0;
  G0 G) K9 \8 \/ r0 l         $result['message']   = '上传失败';
     }
return $result;
, b% }! t7 j$ n    }
unloadpic()方法没有对文件类型进行验证
: D4 V" J9 e6 y; }
2 Y- l$ G& y$ }/ u% {5 ]4 z可以构建表单, 选择任意文件, 提交到
/index.php?app=w3g&mod=Index&act=doPost

在新提交的微博上可以找到上传的文件地址(去掉small_、middle_ 前缀)


在登录thinksns官方微博后,
构建以下表单:

3 f# x% }  w+ f2 k<form action="http://t.thinksns.com/index.php?app=w3g&mod=Index&act=doPost" method="post" enctype="multipart/form-data" />
<textarea name="content">test</textarea>
file: <input id="file" type="file" name="pic" />
2 s2 [- b& h9 _8 x; H0 `<input type="submit" value="Post" />
</form>
去掉缩略图的前缀(small_ )
​修复方案：


) e2 ^3 n  X& J) R" r# {7 H\api\StatusesApi.class.php
0 ]2 S2 u# T2 i! _1 }$ ^
function uploadpic(){
2 X" G- P7 e/ L" [9 _     /**
0 @: X5 V* S( v" V4 j& _: b      * 20121018 @yelo
5 r! d' @. ^9 G      * 增加上传类型验证
5 J3 K+ i6 Y  F+ z/ p      */
     $pathinfo = pathinfo($_FILES['pic']['name']);
     $ext = $pathinfo['extension'];
$allowExts = array('jpg', 'png', 'gif', 'jpeg');

7 K% ^! P; H2 b! D$ J8 H7 X     $uploadCondition = $_FILES['pic'] && in_array(strtolower($ext),$allowExts,true);

     if( $uploadCondition ){
     //执行上传操作
     $savePath =  $this->_getSaveTempPath();
/ h; u+ U; g" o# O3 {! a; \     $filename = md5( time().'teste' ).'.'.substr($_FILES['pic']['name'],strpos($_FILES['pic']['name'],'.')+1);
( K* i4 _' k& V/ x& i- Y- d    if(@copy($_FILES['pic']['tmp_name'], $savePath.'/'.$filename) || @move_uploaded_file($_FILES['pic']['tmp_name'], $savePath.'/'.$filename))
       {
3 ~6 n* C# Z9 j" _8 Y7 R        $result['boolen']    = 1;
        $result['type_data'] = 'temp/'.$filename;
        $result['picurl']    = SITE_PATH.'/uploads/temp/'.$filename;
/ Z. N1 P4 W8 `1 e& r: F/ i. r       } else {
        $result['boolen']    = 0;
1 E+ `3 s2 Y8 ?; {7 g0 a$ G        $result['message']   = '上传失败';
( F' d7 T/ x8 w0 _3 B/ M' I( ^( `       }
     }else{
  P$ P7 D/ V6 `' N  r. p1 V/ b         $result['boolen']    = 0;
$ z# s! ?4 }! X8 O# R% {0 g) v+ E         $result['message']   = '上传失败';
     }
6 Q9 f  y5 c# [5 Preturn $result;
( D5 C. m+ y% \, E    }
​
/ q% N; I3 Q8 r; i
) |" q2 H8 E' K% \; d* l- f, y