ThinkSNS 2.8任意文件上传漏洞及修复

admin

  微博上传图片时只在前端进行验证, 服务器端没有进行安全过滤。
0 u9 d1 {' c9 U) D5 d( C

\api\StatusesApi.class.php

function uploadpic(){
      if( $_FILES['pic'] ){
6 N$ X& V0 E2 y) l% a. S     //执行上传操作
     $savePath =  $this->_getSaveTempPath();
% q+ e! n" N7 z) w/ `; B     $filename = md5( time().'teste' ).'.'.substr($_FILES['pic']['name'],strpos($_FILES['pic']['name'],'.')+1);
    if(@copy($_FILES['pic']['tmp_name'], $savePath.'/'.$filename) || @move_uploaded_file($_FILES['pic']['tmp_name'], $savePath.'/'.$filename))
       {
        $result['boolen']    = 1;
        $result['type_data'] = 'temp/'.$filename;
        $result['picurl']    = SITE_PATH.'/uploads/temp/'.$filename;
  L, ?  V7 c+ x" ?' K1 u% U       } else {
% l8 K6 L# z. y" K/ {! \9 q/ R        $result['boolen']    = 0;
/ z3 K: `7 ]7 t6 r( V5 y% }9 {        $result['message']   = '上传失败';
$ k6 W: t1 N" @       }
     }else{
         $result['boolen']    = 0;
# q* m% E* ?+ c2 q& h  w, J         $result['message']   = '上传失败';
     }
. `) h# O$ g$ S% ureturn $result;
    }
unloadpic()方法没有对文件类型进行验证

可以构建表单, 选择任意文件, 提交到
/index.php?app=w3g&mod=Index&act=doPost

在新提交的微博上可以找到上传的文件地址(去掉small_、middle_ 前缀)


7 Z4 E$ f5 s  E+ Z+ o在登录thinksns官方微博后,
构建以下表单:

3 v: z1 n: ?/ l: A; M4 k<form action="http://t.thinksns.com/index.php?app=w3g&mod=Index&act=doPost" method="post" enctype="multipart/form-data" />
<textarea name="content">test</textarea>
file: <input id="file" type="file" name="pic" />
1 ~, _4 M# D; a0 e) F<input type="submit" value="Post" />
</form>
8 Z" ^+ D0 @: P3 a# n去掉缩略图的前缀(small_ )
​修复方案：
$ V3 x  F! j, D2 f
, t: Z6 t. ~- o9 G1 D) K* I
\api\StatusesApi.class.php
" l! ?) l, x% t
function uploadpic(){
4 h7 y2 q. K6 ?; J7 J     /**
, W) j" n, l* v4 T' n      * 20121018 @yelo
      * 增加上传类型验证
$ A* t# {$ t0 E' f      */
- ^# i4 G. m& W! W! R  Z. ?     $pathinfo = pathinfo($_FILES['pic']['name']);
) K# ~6 f) j* i3 }9 @, g2 d     $ext = $pathinfo['extension'];
$allowExts = array('jpg', 'png', 'gif', 'jpeg');

     $uploadCondition = $_FILES['pic'] && in_array(strtolower($ext),$allowExts,true);

  i! W3 m0 h5 b$ [     if( $uploadCondition ){
     //执行上传操作
/ c9 V) \7 Y- N+ _; ?! n  P' s     $savePath =  $this->_getSaveTempPath();
     $filename = md5( time().'teste' ).'.'.substr($_FILES['pic']['name'],strpos($_FILES['pic']['name'],'.')+1);
4 G, [6 p- F7 o6 B2 k    if(@copy($_FILES['pic']['tmp_name'], $savePath.'/'.$filename) || @move_uploaded_file($_FILES['pic']['tmp_name'], $savePath.'/'.$filename))
       {
        $result['boolen']    = 1;
        $result['type_data'] = 'temp/'.$filename;
        $result['picurl']    = SITE_PATH.'/uploads/temp/'.$filename;
       } else {
# l  T) }( t1 C9 t& Z) F        $result['boolen']    = 0;
        $result['message']   = '上传失败';
$ Z) u3 c( v  s& l9 c- I' K       }
     }else{
         $result['boolen']    = 0;
         $result['message']   = '上传失败';
     }
! P$ M8 h" ^. F1 f% F& i4 Treturn $result;
    }
$ G! H9 v4 O: ?) K​
$ o+ ]# ?- @  S+ i+ o
0 v% ?; o& p9 |5 }