ThinkSNS 2.8任意文件上传漏洞及修复

admin

  微博上传图片时只在前端进行验证, 服务器端没有进行安全过滤。


+ X& f  K9 k5 v4 x' z3 w* l\api\StatusesApi.class.php
& o6 a0 `5 D1 Q3 ]2 i" {+ R
2 u2 d) y* _' F3 s+ d9 R* L2 yfunction uploadpic(){
      if( $_FILES['pic'] ){
/ [3 v$ q$ ?" e, E) d+ y2 |     //执行上传操作
2 d. O' H7 E5 r: u; G: N     $savePath =  $this->_getSaveTempPath();
     $filename = md5( time().'teste' ).'.'.substr($_FILES['pic']['name'],strpos($_FILES['pic']['name'],'.')+1);
    if(@copy($_FILES['pic']['tmp_name'], $savePath.'/'.$filename) || @move_uploaded_file($_FILES['pic']['tmp_name'], $savePath.'/'.$filename))
4 [6 y- r" C2 G0 ~$ r7 \! g1 j- Y       {
        $result['boolen']    = 1;
        $result['type_data'] = 'temp/'.$filename;
        $result['picurl']    = SITE_PATH.'/uploads/temp/'.$filename;
       } else {
) \& N; r' L# W* ]        $result['boolen']    = 0;
        $result['message']   = '上传失败';
       }
     }else{
: {8 N: u" i# l         $result['boolen']    = 0;
         $result['message']   = '上传失败';
: U$ ?# ?) M" ~; {4 w- S5 x3 r5 x  b2 d     }
return $result;
9 w" Y6 d) O/ G/ Q" n* |% u    }
unloadpic()方法没有对文件类型进行验证

5 B# e& J& R7 `0 x可以构建表单, 选择任意文件, 提交到
0 s. Z: g6 S( f8 n: t# E3 C4 k/index.php?app=w3g&mod=Index&act=doPost

在新提交的微博上可以找到上传的文件地址(去掉small_、middle_ 前缀)


- I, j  W+ \" \1 `; T( B: Z在登录thinksns官方微博后,
" r) f  n) T7 f4 u; O3 S构建以下表单:
* @* ?  Q! Q/ R! b* Y  ^
: i% }9 u! j6 K1 q* Z<form action="http://t.thinksns.com/index.php?app=w3g&mod=Index&act=doPost" method="post" enctype="multipart/form-data" />
1 x: J$ W5 N- w8 a+ l<textarea name="content">test</textarea>
file: <input id="file" type="file" name="pic" />
9 \" Y* j' O2 W4 j<input type="submit" value="Post" />
( ~! P% h' y+ W: B</form>
! i) P' K$ Q7 p9 l8 R7 Q去掉缩略图的前缀(small_ )
8 l  P$ j. [) t1 C+ M2 A​修复方案：


\api\StatusesApi.class.php
* C. f9 V9 V7 q/ W6 _* d" u& |" `  |+ R
function uploadpic(){
8 j- f5 g, j$ a) G     /**
1 @/ r$ ?3 g( y5 `% R( F1 ^. Q      * 20121018 @yelo
      * 增加上传类型验证
* E9 b+ I9 I( s6 ?. E      */
" a& J5 @3 ]( b) P     $pathinfo = pathinfo($_FILES['pic']['name']);
     $ext = $pathinfo['extension'];
$allowExts = array('jpg', 'png', 'gif', 'jpeg');

     $uploadCondition = $_FILES['pic'] && in_array(strtolower($ext),$allowExts,true);
& O9 z. p% Q9 b+ `
' e5 u" W! x, u! }2 t& X# {" @- x5 n     if( $uploadCondition ){
     //执行上传操作
1 G3 R$ i: M: l6 B; K( y     $savePath =  $this->_getSaveTempPath();
+ C6 P( e* ~! \9 G$ |     $filename = md5( time().'teste' ).'.'.substr($_FILES['pic']['name'],strpos($_FILES['pic']['name'],'.')+1);
3 X6 g. [6 N3 ]# K' ]* A    if(@copy($_FILES['pic']['tmp_name'], $savePath.'/'.$filename) || @move_uploaded_file($_FILES['pic']['tmp_name'], $savePath.'/'.$filename))
8 f" M) y8 G0 D! K       {
        $result['boolen']    = 1;
( u& E  `( d, v8 W9 r9 b9 E        $result['type_data'] = 'temp/'.$filename;
5 Z* A9 j7 G( k) e0 G9 l: z+ L- o        $result['picurl']    = SITE_PATH.'/uploads/temp/'.$filename;
" {; Q) [, c, C" c2 ~       } else {
& g  Y8 T+ I' ^3 K7 t+ E# ]1 Q        $result['boolen']    = 0;
  B9 W# e, _+ T" B        $result['message']   = '上传失败';
       }
     }else{
4 ?' |9 F) g/ ^0 p         $result['boolen']    = 0;
# g/ q# A5 l9 ]* L$ J" m, L         $result['message']   = '上传失败';
     }
  E& a4 b: {2 W: W$ {" ?4 H5 {return $result;
    }
, H' U0 s. u6 H5 T6 {% {​

! X5 B! b# A/ s3 ~4 x( N  T% I0 ^  {/ H