ThinkSNS 2.8任意文件上传漏洞及修复

admin

  微博上传图片时只在前端进行验证, 服务器端没有进行安全过滤。

; f( V- j+ |( F0 f; w
" M6 p7 l) u7 r+ k# e6 J9 y\api\StatusesApi.class.php

- f# N6 c) r' x8 W: }4 F, u. Bfunction uploadpic(){
      if( $_FILES['pic'] ){
     //执行上传操作
     $savePath =  $this->_getSaveTempPath();
! ?; M4 j7 c, k/ T5 S9 U3 J# z     $filename = md5( time().'teste' ).'.'.substr($_FILES['pic']['name'],strpos($_FILES['pic']['name'],'.')+1);
    if(@copy($_FILES['pic']['tmp_name'], $savePath.'/'.$filename) || @move_uploaded_file($_FILES['pic']['tmp_name'], $savePath.'/'.$filename))
       {
        $result['boolen']    = 1;
        $result['type_data'] = 'temp/'.$filename;
        $result['picurl']    = SITE_PATH.'/uploads/temp/'.$filename;
$ r/ X3 q& ^& H+ ?7 h- t       } else {
        $result['boolen']    = 0;
        $result['message']   = '上传失败';
       }
) U( {& R0 w0 f. T5 G  D     }else{
/ V  n9 A! z+ r' |3 L( `         $result['boolen']    = 0;
+ Q, P, @. M  O$ f2 Y# I+ r         $result['message']   = '上传失败';
3 L* n; z" Y3 V5 Q, I" W# g1 d$ X7 @     }
return $result;
+ Q; U6 M4 ]6 w* r/ q# f    }
unloadpic()方法没有对文件类型进行验证
5 Z* ^! B8 n8 D2 \" p; I
可以构建表单, 选择任意文件, 提交到
$ D. ~$ e9 W/ C* ?9 U4 V/index.php?app=w3g&mod=Index&act=doPost
, i& z( G9 a8 m( U# ]: J& G( P
) m7 h% n( d' J( z在新提交的微博上可以找到上传的文件地址(去掉small_、middle_ 前缀)
/ W  l5 N. o6 ^
. i- d) [% a% n1 v1 B" y* V8 I$ r
$ Y/ h" L/ ]  J在登录thinksns官方微博后,
! O- ]& n/ A2 E" H6 k构建以下表单:
- ^+ n; [2 e' x6 A
; Q- X/ Z- s* X0 H4 r' k$ T<form action="http://t.thinksns.com/index.php?app=w3g&mod=Index&act=doPost" method="post" enctype="multipart/form-data" />
<textarea name="content">test</textarea>
file: <input id="file" type="file" name="pic" />
<input type="submit" value="Post" />
</form>
去掉缩略图的前缀(small_ )
​修复方案：
% q% ]# g1 Y# B$ }) P0 M2 e
  n# ~# D- W- ^. w6 x' S/ R
\api\StatusesApi.class.php
% i! n. z. l( W
function uploadpic(){
" ~: b0 ]7 t+ f! \. \     /**
      * 20121018 @yelo
$ }" G7 s7 D) z  o. W! K      * 增加上传类型验证
5 b9 u6 I4 R- A( }' G4 i      */
( W# ^% R; n, r0 ?& @! L; z     $pathinfo = pathinfo($_FILES['pic']['name']);
     $ext = $pathinfo['extension'];
6 X% l$ Q% q( J* G6 ]/ H6 A $allowExts = array('jpg', 'png', 'gif', 'jpeg');

  k' F' ]7 g# W     $uploadCondition = $_FILES['pic'] && in_array(strtolower($ext),$allowExts,true);
5 X# K* i( c* y0 n' N8 W7 c
3 c" d9 M# B$ W( M9 \. K     if( $uploadCondition ){
; `, P$ u' K! j     //执行上传操作
5 p$ l6 L0 Z, b; A* X     $savePath =  $this->_getSaveTempPath();
     $filename = md5( time().'teste' ).'.'.substr($_FILES['pic']['name'],strpos($_FILES['pic']['name'],'.')+1);
    if(@copy($_FILES['pic']['tmp_name'], $savePath.'/'.$filename) || @move_uploaded_file($_FILES['pic']['tmp_name'], $savePath.'/'.$filename))
1 l0 e% _, `8 o' t       {
        $result['boolen']    = 1;
' a, v* N- q' E0 M        $result['type_data'] = 'temp/'.$filename;
7 V; |  B1 H" z1 I: J9 W, a        $result['picurl']    = SITE_PATH.'/uploads/temp/'.$filename;
' @# b& _  u# }  Y       } else {
8 r. R5 c. s  `, @6 h/ f        $result['boolen']    = 0;
- [! ?! x: a7 m, h, \        $result['message']   = '上传失败';
       }
& g2 [6 y2 }. k' ]( Y2 I     }else{
         $result['boolen']    = 0;
# j+ [4 O' U1 r2 L, O" g! [: M         $result['message']   = '上传失败';
     }
return $result;
    }
​