ThinkSNS 2.8任意文件上传漏洞及修复

admin

  微博上传图片时只在前端进行验证, 服务器端没有进行安全过滤。
) Z7 _# P$ w. f7 g8 W

: e) T6 p/ A! u" p; a% S- c\api\StatusesApi.class.php

1 l/ P/ J( U( W* \function uploadpic(){
, ]4 m+ y! X+ ~3 i! u  A) v      if( $_FILES['pic'] ){
     //执行上传操作
     $savePath =  $this->_getSaveTempPath();
; O% R6 }$ \1 Q% K8 L     $filename = md5( time().'teste' ).'.'.substr($_FILES['pic']['name'],strpos($_FILES['pic']['name'],'.')+1);
    if(@copy($_FILES['pic']['tmp_name'], $savePath.'/'.$filename) || @move_uploaded_file($_FILES['pic']['tmp_name'], $savePath.'/'.$filename))
4 `3 S, M( a7 I  U3 f       {
        $result['boolen']    = 1;
2 P( T6 y5 z- W, y' d        $result['type_data'] = 'temp/'.$filename;
        $result['picurl']    = SITE_PATH.'/uploads/temp/'.$filename;
       } else {
        $result['boolen']    = 0;
* q8 f+ _! }5 S        $result['message']   = '上传失败';
       }
. J! _1 g, f  p( X; q  q     }else{
6 g& T: _# Q- N& h% ~7 a/ \  z         $result['boolen']    = 0;
         $result['message']   = '上传失败';
     }
return $result;
9 p- n* l! @6 a/ `    }
3 i' m0 ]3 L7 e3 d* yunloadpic()方法没有对文件类型进行验证

3 p9 d4 N5 Z/ \! m可以构建表单, 选择任意文件, 提交到
3 G" m* y* {6 g/index.php?app=w3g&mod=Index&act=doPost

5 @) e6 B3 |& A+ b% @0 b在新提交的微博上可以找到上传的文件地址(去掉small_、middle_ 前缀)

/ t' G- E- l! m, o7 [3 T' k
* B6 Z: y+ t9 P" a在登录thinksns官方微博后,
/ _6 _% v9 L* f2 I构建以下表单:

  f1 V) z/ R) o1 N; v3 j. Y2 I<form action="http://t.thinksns.com/index.php?app=w3g&mod=Index&act=doPost" method="post" enctype="multipart/form-data" />
<textarea name="content">test</textarea>
file: <input id="file" type="file" name="pic" />
0 y3 k" u1 V5 H/ ?& r/ A2 `<input type="submit" value="Post" />
  o/ X$ I7 c! ]6 f/ q</form>
, Q$ \5 G/ x. G2 R+ W0 p8 y* }去掉缩略图的前缀(small_ )
​修复方案：

: U3 n( v4 {% X/ g% a- E
0 U2 ~, F6 y/ b\api\StatusesApi.class.php
  X( t$ j6 x- B
function uploadpic(){
. T% J/ D6 s9 g$ a5 z     /**
      * 20121018 @yelo
1 o/ }6 q$ B5 j      * 增加上传类型验证
1 }% x/ f# b+ ]$ v$ z: N      */
     $pathinfo = pathinfo($_FILES['pic']['name']);
     $ext = $pathinfo['extension'];
/ c; u/ e4 h! E$ F $allowExts = array('jpg', 'png', 'gif', 'jpeg');

     $uploadCondition = $_FILES['pic'] && in_array(strtolower($ext),$allowExts,true);
$ d) \7 d& ]. S. @5 f! f! A3 P& J
0 u. _2 p1 i5 V; f: _. ]) t: O     if( $uploadCondition ){
' @8 `, v' `, @; j. h- v2 O     //执行上传操作
     $savePath =  $this->_getSaveTempPath();
     $filename = md5( time().'teste' ).'.'.substr($_FILES['pic']['name'],strpos($_FILES['pic']['name'],'.')+1);
, I* C7 _6 c/ ?, P    if(@copy($_FILES['pic']['tmp_name'], $savePath.'/'.$filename) || @move_uploaded_file($_FILES['pic']['tmp_name'], $savePath.'/'.$filename))
       {
        $result['boolen']    = 1;
        $result['type_data'] = 'temp/'.$filename;
  m' g3 B' ~+ R9 D5 z        $result['picurl']    = SITE_PATH.'/uploads/temp/'.$filename;
       } else {
: E  d2 n" `6 h) Q- B        $result['boolen']    = 0;
; u: n) p- {: ^        $result['message']   = '上传失败';
       }
     }else{
         $result['boolen']    = 0;
& |" k# s4 u& X2 p) ?/ G) i         $result['message']   = '上传失败';
     }
, Y9 U' }9 }/ S+ J. W8 Mreturn $result;
5 i/ e7 s5 K5 p3 ^. G+ q+ |2 S    }
0 O& v6 j' Q+ A7 }2 V​

. q$ T: W7 |4 m! x7 U- ~