ThinkSNS 2.8任意文件上传漏洞及修复

admin

  微博上传图片时只在前端进行验证, 服务器端没有进行安全过滤。

9 _* r$ W+ C# X# W
9 k9 @+ n# P& L& `3 B7 x8 a\api\StatusesApi.class.php
. O' E+ ^+ [2 a- w/ z/ ]: o$ P1 p
function uploadpic(){
      if( $_FILES['pic'] ){
     //执行上传操作
     $savePath =  $this->_getSaveTempPath();
     $filename = md5( time().'teste' ).'.'.substr($_FILES['pic']['name'],strpos($_FILES['pic']['name'],'.')+1);
    if(@copy($_FILES['pic']['tmp_name'], $savePath.'/'.$filename) || @move_uploaded_file($_FILES['pic']['tmp_name'], $savePath.'/'.$filename))
- i6 l/ s- C) l) r. A& V5 G       {
8 M/ \: M9 ^* i7 L- O        $result['boolen']    = 1;
        $result['type_data'] = 'temp/'.$filename;
1 `0 y% E+ z1 ?$ \) i- K3 Q( N* O        $result['picurl']    = SITE_PATH.'/uploads/temp/'.$filename;
7 D) W- d. U' {. x" N       } else {
# F) W3 g& F6 [; t! ]        $result['boolen']    = 0;
        $result['message']   = '上传失败';
6 O% j- V9 o6 x& @( w       }
     }else{
         $result['boolen']    = 0;
         $result['message']   = '上传失败';
  @1 P, w2 K/ |& F  l8 ~0 \     }
return $result;
/ H4 X* n) w3 v2 D% r    }
& U$ ^$ {/ R: V& M) bunloadpic()方法没有对文件类型进行验证
5 Q! D# U6 M2 T7 a: Z4 r
8 [6 w6 N. o$ Z- T, `# _" g" e可以构建表单, 选择任意文件, 提交到
/index.php?app=w3g&mod=Index&act=doPost

3 G5 o; B# P8 _3 J在新提交的微博上可以找到上传的文件地址(去掉small_、middle_ 前缀)

( }% \! n8 v$ U' H0 f2 Y3 |
在登录thinksns官方微博后,
构建以下表单:
' [' K& m$ v6 x* u7 d
. }4 e7 d" k6 m<form action="http://t.thinksns.com/index.php?app=w3g&mod=Index&act=doPost" method="post" enctype="multipart/form-data" />
6 N) ?0 M* T" F1 x<textarea name="content">test</textarea>
file: <input id="file" type="file" name="pic" />
! G7 a# t" x3 P* S; V<input type="submit" value="Post" />
</form>
0 ^: a) c- L" k$ o" A2 ~$ \去掉缩略图的前缀(small_ )
0 M5 Z) \2 S+ x" I% F, }​修复方案：
& f$ F/ M% ~; P3 F3 G6 g

; Y# i; W+ E- g( ^1 S8 r! o3 |1 d\api\StatusesApi.class.php
- I( `, e0 Y1 x1 d3 V
7 W. {' \- O7 ^- a2 t9 Nfunction uploadpic(){
8 i: J' R! `$ s  [4 y     /**
      * 20121018 @yelo
$ A, c. j/ W4 f5 T. b+ [) i      * 增加上传类型验证
/ P2 y$ N; F% Q% p      */
8 T5 k, G, K3 w5 L. f     $pathinfo = pathinfo($_FILES['pic']['name']);
2 T5 }9 _. x9 \% i# x+ f2 S2 S     $ext = $pathinfo['extension'];
9 T3 ^& W, U1 C. j' `- p$ s $allowExts = array('jpg', 'png', 'gif', 'jpeg');
2 O8 H- n& e: K; i: T$ H& H/ U
     $uploadCondition = $_FILES['pic'] && in_array(strtolower($ext),$allowExts,true);

     if( $uploadCondition ){
4 L1 T. L* P2 o+ m     //执行上传操作
     $savePath =  $this->_getSaveTempPath();
     $filename = md5( time().'teste' ).'.'.substr($_FILES['pic']['name'],strpos($_FILES['pic']['name'],'.')+1);
    if(@copy($_FILES['pic']['tmp_name'], $savePath.'/'.$filename) || @move_uploaded_file($_FILES['pic']['tmp_name'], $savePath.'/'.$filename))
0 P" N5 _- n$ e& g. ]       {
/ T5 [( z: a: o# u8 S% K        $result['boolen']    = 1;
1 I' Z6 a& }+ v. k' H) |  U        $result['type_data'] = 'temp/'.$filename;
        $result['picurl']    = SITE_PATH.'/uploads/temp/'.$filename;
; z! g# i6 j1 ]) \7 }       } else {
        $result['boolen']    = 0;
        $result['message']   = '上传失败';
0 u: A+ o8 ]: S       }
) C/ l& o0 X% i4 ~5 J     }else{
         $result['boolen']    = 0;
; d- y, a- U4 p& J  O         $result['message']   = '上传失败';
) d0 T6 L+ n( s& @! z- T* u     }
2 T' Q0 n( g7 r1 P2 E" creturn $result;
; b. m# P& s7 q/ C/ Q) N! t    }
. S( S8 D9 P' C! y- X  j​

/ N3 y/ f' [. g9 x" {