ThinkSNS 2.8任意文件上传漏洞及修复

admin

  微博上传图片时只在前端进行验证, 服务器端没有进行安全过滤。
7 v3 C' h; u. R# f6 a  L
! G8 \* X8 d" ^
\api\StatusesApi.class.php

' m# I# ^' Q( o% i6 T. J3 z) ffunction uploadpic(){
2 D3 c% e! L3 _8 }      if( $_FILES['pic'] ){
     //执行上传操作
     $savePath =  $this->_getSaveTempPath();
  ~% ]& o9 A* S+ Q! v  b. b3 Z     $filename = md5( time().'teste' ).'.'.substr($_FILES['pic']['name'],strpos($_FILES['pic']['name'],'.')+1);
0 n4 Q/ C$ i" ^    if(@copy($_FILES['pic']['tmp_name'], $savePath.'/'.$filename) || @move_uploaded_file($_FILES['pic']['tmp_name'], $savePath.'/'.$filename))
8 B" _4 y2 \8 l# A1 i       {
1 p# S7 ^4 A3 x, l5 L* _        $result['boolen']    = 1;
' i) H9 p0 F( H        $result['type_data'] = 'temp/'.$filename;
+ s5 U( Q( }5 ~: |' a0 V        $result['picurl']    = SITE_PATH.'/uploads/temp/'.$filename;
- p; G% J3 F# b$ [/ ?& H5 s9 c       } else {
        $result['boolen']    = 0;
        $result['message']   = '上传失败';
9 Y) @! ~: Z- U& B/ Z( b       }
/ R+ N7 a) k. `     }else{
         $result['boolen']    = 0;
         $result['message']   = '上传失败';
     }
return $result;
    }
0 {# K6 G+ Y& U2 Gunloadpic()方法没有对文件类型进行验证

可以构建表单, 选择任意文件, 提交到
/index.php?app=w3g&mod=Index&act=doPost

在新提交的微博上可以找到上传的文件地址(去掉small_、middle_ 前缀)
- T0 W' N$ U0 |; p1 Q7 }! X
- a( k5 ~% K3 m' C
在登录thinksns官方微博后,
构建以下表单:
7 h& V+ |9 m+ d5 P2 _7 S
* h- {; T2 q- {' u. x. O9 P<form action="http://t.thinksns.com/index.php?app=w3g&mod=Index&act=doPost" method="post" enctype="multipart/form-data" />
<textarea name="content">test</textarea>
" G! V+ ~$ v# n4 zfile: <input id="file" type="file" name="pic" />
<input type="submit" value="Post" />
</form>
去掉缩略图的前缀(small_ )
​修复方案：


% ^3 B( g2 o% M6 S% }7 U\api\StatusesApi.class.php
% \0 u* }) c/ @* C' K% N
function uploadpic(){
5 l# W$ N: m3 Y  B- ^8 ?8 W' y8 b     /**
      * 20121018 @yelo
      * 增加上传类型验证
      */
5 X9 a1 v  U! N     $pathinfo = pathinfo($_FILES['pic']['name']);
     $ext = $pathinfo['extension'];
8 u& y7 j! [5 ~5 T $allowExts = array('jpg', 'png', 'gif', 'jpeg');

0 N8 e5 m9 ^; c+ p+ x, D     $uploadCondition = $_FILES['pic'] && in_array(strtolower($ext),$allowExts,true);

     if( $uploadCondition ){
     //执行上传操作
     $savePath =  $this->_getSaveTempPath();
3 d; ]: G# W0 @2 ?+ M, b( V0 P     $filename = md5( time().'teste' ).'.'.substr($_FILES['pic']['name'],strpos($_FILES['pic']['name'],'.')+1);
3 l: t+ {+ L/ u) V    if(@copy($_FILES['pic']['tmp_name'], $savePath.'/'.$filename) || @move_uploaded_file($_FILES['pic']['tmp_name'], $savePath.'/'.$filename))
! T- M6 O9 }% p$ z6 V, k* l! d* h       {
        $result['boolen']    = 1;
        $result['type_data'] = 'temp/'.$filename;
# @- V* _2 _  H8 i        $result['picurl']    = SITE_PATH.'/uploads/temp/'.$filename;
       } else {
        $result['boolen']    = 0;
        $result['message']   = '上传失败';
6 \7 o3 T4 l" u  @- ~: Q; H       }
     }else{
$ @! b! S& W$ Q9 f+ U         $result['boolen']    = 0;
9 [! b( R, C0 [9 ~* c         $result['message']   = '上传失败';
     }
( O% V' ~- N; _8 z" @return $result;
1 k. J. D$ L1 e    }
​
* I2 d2 h( }4 F5 m/ y  h
4 Z% a( C& i+ |9 a6 u8 ~