ThinkSNS 2.8任意文件上传漏洞及修复

admin

  微博上传图片时只在前端进行验证, 服务器端没有进行安全过滤。
7 H2 P+ B1 \2 s# A

! O9 o; f, h) `2 p2 q\api\StatusesApi.class.php
* e! }+ Q+ c/ x: V3 y! D+ o
function uploadpic(){
      if( $_FILES['pic'] ){
     //执行上传操作
1 z" \- g4 c* ^; ?     $savePath =  $this->_getSaveTempPath();
     $filename = md5( time().'teste' ).'.'.substr($_FILES['pic']['name'],strpos($_FILES['pic']['name'],'.')+1);
7 q5 L9 `7 A: b, V    if(@copy($_FILES['pic']['tmp_name'], $savePath.'/'.$filename) || @move_uploaded_file($_FILES['pic']['tmp_name'], $savePath.'/'.$filename))
       {
0 K8 S, A+ _; L' i/ n$ `        $result['boolen']    = 1;
/ r3 i( `' O0 \, C6 F        $result['type_data'] = 'temp/'.$filename;
        $result['picurl']    = SITE_PATH.'/uploads/temp/'.$filename;
  J* R7 J: C/ r  D$ r0 v       } else {
        $result['boolen']    = 0;
        $result['message']   = '上传失败';
       }
+ T2 Z2 a, s0 v6 V# l$ p     }else{
' U+ V% a' d" r         $result['boolen']    = 0;
         $result['message']   = '上传失败';
     }
' V3 h  S% X; Greturn $result;
    }
8 K6 _) W6 e7 b) ^7 F! x8 V( Gunloadpic()方法没有对文件类型进行验证

可以构建表单, 选择任意文件, 提交到
& i- c6 r+ ]8 N, _" ~/index.php?app=w3g&mod=Index&act=doPost
& A, f; [+ x0 l1 W+ l
% s; M0 _7 \- [+ z: |' @在新提交的微博上可以找到上传的文件地址(去掉small_、middle_ 前缀)
+ G( W9 `' f6 n) o: D% k5 I# b

; ?% U1 L6 S# w+ r在登录thinksns官方微博后,
构建以下表单:

<form action="http://t.thinksns.com/index.php?app=w3g&mod=Index&act=doPost" method="post" enctype="multipart/form-data" />
& |7 Q) G& L0 m1 H% Z! f<textarea name="content">test</textarea>
- S* Y" r* o- }! Ofile: <input id="file" type="file" name="pic" />
) s% j8 \4 Z1 i+ j1 A. `0 ~( m<input type="submit" value="Post" />
% x8 l) e" v& u4 b. {</form>
- b8 c: p+ \& m1 [去掉缩略图的前缀(small_ )
​修复方案：

7 ]& B6 H; @+ b7 }6 {
0 g4 R. ], ~9 ]* f* R) G4 T+ i  d\api\StatusesApi.class.php
) L7 A" W4 e! a! Y# X$ K; r8 M
function uploadpic(){
     /**
      * 20121018 @yelo
4 \0 l2 f3 s& d, u3 c      * 增加上传类型验证
  l# o; z. Q  X0 G9 u& O      */
     $pathinfo = pathinfo($_FILES['pic']['name']);
$ f- t5 [; t! E/ d! x4 U% \5 }# y     $ext = $pathinfo['extension'];
$allowExts = array('jpg', 'png', 'gif', 'jpeg');

     $uploadCondition = $_FILES['pic'] && in_array(strtolower($ext),$allowExts,true);

     if( $uploadCondition ){
2 O  o- D4 i' v+ l$ ~, v3 A+ D: f     //执行上传操作
) n( D% z4 ^1 X* [  T  B     $savePath =  $this->_getSaveTempPath();
5 W- U" a; [7 x3 G! _4 u     $filename = md5( time().'teste' ).'.'.substr($_FILES['pic']['name'],strpos($_FILES['pic']['name'],'.')+1);
  ]- g! a! l, o- X- O    if(@copy($_FILES['pic']['tmp_name'], $savePath.'/'.$filename) || @move_uploaded_file($_FILES['pic']['tmp_name'], $savePath.'/'.$filename))
       {
        $result['boolen']    = 1;
        $result['type_data'] = 'temp/'.$filename;
        $result['picurl']    = SITE_PATH.'/uploads/temp/'.$filename;
       } else {
+ K1 ]3 ^  T: {) D        $result['boolen']    = 0;
        $result['message']   = '上传失败';
       }
" e. a; @, I2 X& w. o4 E     }else{
4 j! H- n$ o/ \6 D         $result['boolen']    = 0;
1 `$ L" ]) z) H         $result['message']   = '上传失败';
     }
6 S! y4 S% B% y* areturn $result;
) y2 |" h# {% [% n    }
* g, d+ ^3 ]# y5 d1 K% u​

- n) L8 q( _$ V, c3 M