ThinkSNS 2.8任意文件上传漏洞及修复

admin

  微博上传图片时只在前端进行验证, 服务器端没有进行安全过滤。


\api\StatusesApi.class.php
; G4 z) E! c' Z7 t6 N' ~( y
function uploadpic(){
      if( $_FILES['pic'] ){
     //执行上传操作
     $savePath =  $this->_getSaveTempPath();
     $filename = md5( time().'teste' ).'.'.substr($_FILES['pic']['name'],strpos($_FILES['pic']['name'],'.')+1);
    if(@copy($_FILES['pic']['tmp_name'], $savePath.'/'.$filename) || @move_uploaded_file($_FILES['pic']['tmp_name'], $savePath.'/'.$filename))
       {
        $result['boolen']    = 1;
% q6 X. w0 Q5 J7 n4 j* e; L        $result['type_data'] = 'temp/'.$filename;
        $result['picurl']    = SITE_PATH.'/uploads/temp/'.$filename;
7 w. B" ~' s1 F! s. }. Z: R       } else {
        $result['boolen']    = 0;
        $result['message']   = '上传失败';
       }
     }else{
         $result['boolen']    = 0;
. K1 |4 x% N- s: K# W         $result['message']   = '上传失败';
     }
return $result;
    }
' Z6 I4 N- Y7 J  i% ^unloadpic()方法没有对文件类型进行验证

可以构建表单, 选择任意文件, 提交到
/index.php?app=w3g&mod=Index&act=doPost

# W; h: s( L  S7 }在新提交的微博上可以找到上传的文件地址(去掉small_、middle_ 前缀)


在登录thinksns官方微博后,
1 m5 z2 e7 g0 S  f* Q8 ~2 X构建以下表单:

<form action="http://t.thinksns.com/index.php?app=w3g&mod=Index&act=doPost" method="post" enctype="multipart/form-data" />
<textarea name="content">test</textarea>
file: <input id="file" type="file" name="pic" />
" Z2 [' W* K7 k- m<input type="submit" value="Post" />
8 k3 ~- C4 \* x; Y: K9 M</form>
3 `9 f9 Q4 Y5 e去掉缩略图的前缀(small_ )
, ~( T3 X/ Y, N* _8 z+ ~3 _, A​修复方案：
/ u! e1 b" `+ j& R, y; T

\api\StatusesApi.class.php

function uploadpic(){
     /**
      * 20121018 @yelo
      * 增加上传类型验证
, ^$ h; j. q0 P      */
     $pathinfo = pathinfo($_FILES['pic']['name']);
5 X7 Q8 q* X8 W     $ext = $pathinfo['extension'];
1 X/ x4 K6 h4 }* @ $allowExts = array('jpg', 'png', 'gif', 'jpeg');

" i$ Q# v! o4 s8 d! _3 s5 M     $uploadCondition = $_FILES['pic'] && in_array(strtolower($ext),$allowExts,true);
3 w+ P7 Q. O/ @
) `& W, g+ J) ?/ r- v     if( $uploadCondition ){
& Z9 N/ r4 z, l' J$ N' B- V- n7 I     //执行上传操作
     $savePath =  $this->_getSaveTempPath();
     $filename = md5( time().'teste' ).'.'.substr($_FILES['pic']['name'],strpos($_FILES['pic']['name'],'.')+1);
6 q6 N' A  v9 V8 v+ t    if(@copy($_FILES['pic']['tmp_name'], $savePath.'/'.$filename) || @move_uploaded_file($_FILES['pic']['tmp_name'], $savePath.'/'.$filename))
" Q$ D/ m* o5 L  ]- {4 E, ?, A       {
8 p( N8 P+ K* m$ i        $result['boolen']    = 1;
: w5 Y' c" S8 Q0 O        $result['type_data'] = 'temp/'.$filename;
        $result['picurl']    = SITE_PATH.'/uploads/temp/'.$filename;
7 H8 }# U  ?! [       } else {
/ o( o& P6 Y" A; o4 q2 }        $result['boolen']    = 0;
        $result['message']   = '上传失败';
! t7 }; p- e9 c. I7 y' m       }
" D. E2 L& v9 O+ ?1 j8 J+ |$ w     }else{
         $result['boolen']    = 0;
         $result['message']   = '上传失败';
6 T) X" Y2 e- ^0 T5 R     }
return $result;
% a! a( k) w4 ~7 t3 U    }
' M2 [2 T# j/ H; e​