ThinkSNS 2.8任意文件上传漏洞及修复

admin

  微博上传图片时只在前端进行验证, 服务器端没有进行安全过滤。


\api\StatusesApi.class.php
' P' J0 Y# e- G- c7 k
: j$ _  p1 n0 X; s6 ~function uploadpic(){
      if( $_FILES['pic'] ){
     //执行上传操作
! @% r0 v! x1 r# q& r1 ~     $savePath =  $this->_getSaveTempPath();
     $filename = md5( time().'teste' ).'.'.substr($_FILES['pic']['name'],strpos($_FILES['pic']['name'],'.')+1);
    if(@copy($_FILES['pic']['tmp_name'], $savePath.'/'.$filename) || @move_uploaded_file($_FILES['pic']['tmp_name'], $savePath.'/'.$filename))
! C6 K3 `9 J) U+ U  A       {
        $result['boolen']    = 1;
9 ?& C! Q- e9 S        $result['type_data'] = 'temp/'.$filename;
0 T5 \+ f" a9 a! _! l) g% f; q. S        $result['picurl']    = SITE_PATH.'/uploads/temp/'.$filename;
$ D& H+ b0 H& n9 s       } else {
        $result['boolen']    = 0;
        $result['message']   = '上传失败';
       }
     }else{
         $result['boolen']    = 0;
' G- _5 `1 Z/ D" C) O, @- s0 E5 g         $result['message']   = '上传失败';
# _( {- i# m6 l     }
return $result;
/ P- h* D1 A9 m( H, i    }
unloadpic()方法没有对文件类型进行验证
% ~( J) J  t9 W3 Q+ J% f+ r
可以构建表单, 选择任意文件, 提交到
/index.php?app=w3g&mod=Index&act=doPost

7 p7 [$ O. d, Y. L7 i在新提交的微博上可以找到上传的文件地址(去掉small_、middle_ 前缀)
) L. P) `. X3 d9 S& [: l
  B. H4 w2 [/ H4 Y1 E: R$ r5 ]
( i( s& m$ V) ?, E8 e在登录thinksns官方微博后,
( W/ Q( L7 t4 ?5 _0 v5 W构建以下表单:
. c& s; S# D3 r
4 f( C4 v- A( r<form action="http://t.thinksns.com/index.php?app=w3g&mod=Index&act=doPost" method="post" enctype="multipart/form-data" />
<textarea name="content">test</textarea>
& R$ X/ [0 G& z8 G5 j9 @0 Cfile: <input id="file" type="file" name="pic" />
& J9 F1 p( i, x+ T<input type="submit" value="Post" />
: e" g3 Q  G3 r, h</form>
去掉缩略图的前缀(small_ )
% ?; ^. `% M+ {, u1 d  S2 x3 X# d​修复方案：


\api\StatusesApi.class.php

8 @# c+ x" |# F8 _function uploadpic(){
( Q0 A- u, g( F     /**
7 b6 M1 l6 P/ E( h      * 20121018 @yelo
2 l" ^* p( r+ |4 u5 p. ?9 ^. ^      * 增加上传类型验证
; H$ C& i/ a2 a$ d9 d# j8 \      */
     $pathinfo = pathinfo($_FILES['pic']['name']);
     $ext = $pathinfo['extension'];
* i$ ?+ E9 \4 `4 E+ G8 A $allowExts = array('jpg', 'png', 'gif', 'jpeg');

/ c& I/ u. g8 X; O1 \     $uploadCondition = $_FILES['pic'] && in_array(strtolower($ext),$allowExts,true);

     if( $uploadCondition ){
     //执行上传操作
2 \* }/ B5 @  u# R) \& r     $savePath =  $this->_getSaveTempPath();
     $filename = md5( time().'teste' ).'.'.substr($_FILES['pic']['name'],strpos($_FILES['pic']['name'],'.')+1);
    if(@copy($_FILES['pic']['tmp_name'], $savePath.'/'.$filename) || @move_uploaded_file($_FILES['pic']['tmp_name'], $savePath.'/'.$filename))
       {
( T6 I* |& Q  r* u9 N        $result['boolen']    = 1;
        $result['type_data'] = 'temp/'.$filename;
  n+ T% y2 _6 f$ b; j$ e6 W7 Z        $result['picurl']    = SITE_PATH.'/uploads/temp/'.$filename;
1 E$ Y4 m5 T3 `; j1 \       } else {
* ~" q3 Z2 s- Z. ]1 N7 c0 O0 b        $result['boolen']    = 0;
        $result['message']   = '上传失败';
6 m3 ]0 ~1 h" d       }
     }else{
         $result['boolen']    = 0;
% V. n+ Z: P' T( z& b         $result['message']   = '上传失败';
( E$ S( L$ K& I( G% O     }
2 f. H8 k" f- P' n- m. }return $result;
    }
4 M# K" t2 _$ u! x. D​

7 }+ D$ M* I8 Y/ s) J$ y. O7 V