ThinkSNS 2.8任意文件上传漏洞及修复

admin

  微博上传图片时只在前端进行验证, 服务器端没有进行安全过滤。


3 V  [7 V! z2 @* U\api\StatusesApi.class.php

function uploadpic(){
1 Y# w/ z+ t/ V8 e      if( $_FILES['pic'] ){
) n+ n, |/ }- k" c     //执行上传操作
     $savePath =  $this->_getSaveTempPath();
     $filename = md5( time().'teste' ).'.'.substr($_FILES['pic']['name'],strpos($_FILES['pic']['name'],'.')+1);
    if(@copy($_FILES['pic']['tmp_name'], $savePath.'/'.$filename) || @move_uploaded_file($_FILES['pic']['tmp_name'], $savePath.'/'.$filename))
       {
        $result['boolen']    = 1;
3 X1 ?( U# [: m: V6 a" q        $result['type_data'] = 'temp/'.$filename;
        $result['picurl']    = SITE_PATH.'/uploads/temp/'.$filename;
       } else {
$ z* S% D" v, O$ k) P/ k8 U        $result['boolen']    = 0;
% }# h7 `  f3 n        $result['message']   = '上传失败';
4 N3 C' F4 _, ~       }
  X' K3 Q, U" y/ i     }else{
4 z! @9 i: a' H0 V  u  u9 ?         $result['boolen']    = 0;
7 q. b& k( J$ t: I5 q         $result['message']   = '上传失败';
7 |$ E6 s! x8 E7 v3 x     }
4 J7 R# J- y% h$ zreturn $result;
% ~7 c* G  {  C1 Y1 G    }
unloadpic()方法没有对文件类型进行验证
& U& v" E' S7 O4 K' o
1 u+ b" q) a" r可以构建表单, 选择任意文件, 提交到
( o& W4 a; ^) D( q/index.php?app=w3g&mod=Index&act=doPost

+ e  D0 L; J2 b0 _, D: P0 a6 I  L在新提交的微博上可以找到上传的文件地址(去掉small_、middle_ 前缀)
4 v, Z2 L4 W+ ?% t& q+ @0 }
; C# D8 S, X2 G! T- ]) E6 q
在登录thinksns官方微博后,
构建以下表单:
. T9 h6 y& V' t7 r1 A; ]
<form action="http://t.thinksns.com/index.php?app=w3g&mod=Index&act=doPost" method="post" enctype="multipart/form-data" />
<textarea name="content">test</textarea>
file: <input id="file" type="file" name="pic" />
9 s2 T5 Y5 P5 H<input type="submit" value="Post" />
</form>
去掉缩略图的前缀(small_ )
7 q, T! H3 U* f: E​修复方案：
" o8 {9 S* w5 z! k7 X( ]. |7 p: X

\api\StatusesApi.class.php

) G* @: R9 _- N/ h8 n2 A/ `function uploadpic(){
     /**
      * 20121018 @yelo
& S$ ^% |6 S) t7 a1 J* h; Y. g      * 增加上传类型验证
. M1 B$ {4 o' N( V' S9 R      */
, O) D5 F, V6 t* d# {% z     $pathinfo = pathinfo($_FILES['pic']['name']);
     $ext = $pathinfo['extension'];
8 Y9 a0 p5 }3 B $allowExts = array('jpg', 'png', 'gif', 'jpeg');
0 {/ ?$ K2 ~1 B  i) i
* F! }; Z- J- q) t' f     $uploadCondition = $_FILES['pic'] && in_array(strtolower($ext),$allowExts,true);
! O- S9 n: E) M: y  ?& k6 w
     if( $uploadCondition ){
1 G- F2 N  S8 R  j. z2 f  }     //执行上传操作
     $savePath =  $this->_getSaveTempPath();
7 K# E- {. X; h, K     $filename = md5( time().'teste' ).'.'.substr($_FILES['pic']['name'],strpos($_FILES['pic']['name'],'.')+1);
  z# ^& `' D+ R    if(@copy($_FILES['pic']['tmp_name'], $savePath.'/'.$filename) || @move_uploaded_file($_FILES['pic']['tmp_name'], $savePath.'/'.$filename))
. A# o7 g0 v2 L( o6 F       {
        $result['boolen']    = 1;
        $result['type_data'] = 'temp/'.$filename;
% [' L- c( h* M: B& ~6 m5 L        $result['picurl']    = SITE_PATH.'/uploads/temp/'.$filename;
       } else {
4 s9 ^" W9 ]8 V! `  B" `0 ^0 [8 h        $result['boolen']    = 0;
" C. S: b5 [& e        $result['message']   = '上传失败';
       }
     }else{
9 g6 Q! Y- ?1 U% O* h: M         $result['boolen']    = 0;
         $result['message']   = '上传失败';
7 E% h# d% c7 {" q: T" R+ O     }
return $result;
* y& o! N1 b* {8 Q' y1 y    }
​
# [- f2 r0 W6 V- A$ m! N
8 j, P2 g/ @2 k8 _3 U' v0 {& ~  D3 P