ThinkSNS 2.8任意文件上传漏洞及修复

admin

  微博上传图片时只在前端进行验证, 服务器端没有进行安全过滤。

& ]% c) L$ B8 @7 U& B- Z
% r3 y+ y1 m+ B& g! O% D1 W\api\StatusesApi.class.php
. c3 D. X) \; l5 i+ u' T0 P! m
function uploadpic(){
      if( $_FILES['pic'] ){
. O8 R, Y9 ]4 G$ |+ Z  Z     //执行上传操作
* Q9 q+ u" c" h( O( n% h     $savePath =  $this->_getSaveTempPath();
     $filename = md5( time().'teste' ).'.'.substr($_FILES['pic']['name'],strpos($_FILES['pic']['name'],'.')+1);
    if(@copy($_FILES['pic']['tmp_name'], $savePath.'/'.$filename) || @move_uploaded_file($_FILES['pic']['tmp_name'], $savePath.'/'.$filename))
       {
7 X/ C5 F+ ^( }$ n. p7 H8 j        $result['boolen']    = 1;
/ u& e7 A: @! `" H3 M. {, ^        $result['type_data'] = 'temp/'.$filename;
$ j' @% P9 |9 S! f1 E* p  u  ]1 z8 F        $result['picurl']    = SITE_PATH.'/uploads/temp/'.$filename;
& i+ Q! a) P' m5 L       } else {
5 g( N8 ^8 K1 v4 G        $result['boolen']    = 0;
# T; P& B+ Q* p$ v        $result['message']   = '上传失败';
       }
* }7 d, z+ `/ i     }else{
         $result['boolen']    = 0;
! D- t! a# U6 F/ e% g/ U         $result['message']   = '上传失败';
     }
return $result;
    }
unloadpic()方法没有对文件类型进行验证

可以构建表单, 选择任意文件, 提交到
/index.php?app=w3g&mod=Index&act=doPost
3 m& c) V0 _2 P, R$ ~# }6 _
$ P( e6 P' J& H4 ]: ]1 P在新提交的微博上可以找到上传的文件地址(去掉small_、middle_ 前缀)


+ `3 ]( {4 g2 F4 I! W' _& z在登录thinksns官方微博后,
5 g- p: z2 N2 R; L  m- c构建以下表单:
7 L+ G5 T! D, g1 G0 X% ]
* R- r4 o% d$ W9 W6 R<form action="http://t.thinksns.com/index.php?app=w3g&mod=Index&act=doPost" method="post" enctype="multipart/form-data" />
1 u- v4 q6 R+ P  i5 p+ g2 z<textarea name="content">test</textarea>
# d- s% T) Y$ [' t3 \) _- }# hfile: <input id="file" type="file" name="pic" />
<input type="submit" value="Post" />
</form>
去掉缩略图的前缀(small_ )
​修复方案：
/ p+ U- W" l/ @! S+ x

* P" B7 T0 u  B' w( Y3 ^0 ?\api\StatusesApi.class.php
, h- l6 b/ C7 ^3 \' E# ?  V
- b* B3 H% \( D1 `0 I" Efunction uploadpic(){
4 R) U& @% C5 X7 m     /**
      * 20121018 @yelo
      * 增加上传类型验证
      */
: `& v( }& u# }* w     $pathinfo = pathinfo($_FILES['pic']['name']);
6 d6 K% h) N9 d, @5 K+ d9 l8 s     $ext = $pathinfo['extension'];
$allowExts = array('jpg', 'png', 'gif', 'jpeg');
# V8 B' o  o# v5 }
( a. E' p; `2 i* p3 O. o     $uploadCondition = $_FILES['pic'] && in_array(strtolower($ext),$allowExts,true);

     if( $uploadCondition ){
     //执行上传操作
     $savePath =  $this->_getSaveTempPath();
     $filename = md5( time().'teste' ).'.'.substr($_FILES['pic']['name'],strpos($_FILES['pic']['name'],'.')+1);
6 V' N$ q, x9 L, u3 ?% E* v' X    if(@copy($_FILES['pic']['tmp_name'], $savePath.'/'.$filename) || @move_uploaded_file($_FILES['pic']['tmp_name'], $savePath.'/'.$filename))
       {
' w0 _: ~! {, ?        $result['boolen']    = 1;
        $result['type_data'] = 'temp/'.$filename;
        $result['picurl']    = SITE_PATH.'/uploads/temp/'.$filename;
       } else {
        $result['boolen']    = 0;
6 Z: w& k. R0 D- g8 ^        $result['message']   = '上传失败';
- f, P; y% ~# N       }
7 g5 J6 P3 l1 q1 ~/ \$ d     }else{
) J5 k3 d( M$ p% i4 V6 [# M         $result['boolen']    = 0;
; D/ ?! R# D: d3 I7 g) r         $result['message']   = '上传失败';
     }
return $result;
    }
/ s8 [) b; r4 P! j4 Y​

; R, @# ~: v; R) T/ Q2 o4 b/ {! {