ThinkSNS 2.8任意文件上传漏洞及修复

admin

  微博上传图片时只在前端进行验证, 服务器端没有进行安全过滤。


: g4 \1 t% U( U9 d& F3 G& f\api\StatusesApi.class.php
* L7 i5 C$ G  A5 k7 d3 O' c9 ^& e
function uploadpic(){
      if( $_FILES['pic'] ){
     //执行上传操作
     $savePath =  $this->_getSaveTempPath();
     $filename = md5( time().'teste' ).'.'.substr($_FILES['pic']['name'],strpos($_FILES['pic']['name'],'.')+1);
    if(@copy($_FILES['pic']['tmp_name'], $savePath.'/'.$filename) || @move_uploaded_file($_FILES['pic']['tmp_name'], $savePath.'/'.$filename))
       {
% J+ N# a# q* d  o6 _/ |, H        $result['boolen']    = 1;
        $result['type_data'] = 'temp/'.$filename;
        $result['picurl']    = SITE_PATH.'/uploads/temp/'.$filename;
9 c# z% C6 i$ o# _- W9 N8 M       } else {
        $result['boolen']    = 0;
        $result['message']   = '上传失败';
9 ~+ G  Z, f4 _" k8 C( Z       }
- }8 q. R8 D  p% C* V     }else{
9 [/ I. @5 E4 d' k' x7 Q         $result['boolen']    = 0;
- G7 G9 `- r0 t# M; C5 ~- K8 L# j         $result['message']   = '上传失败';
/ j8 ~* D/ t5 G% ], ]( K     }
return $result;
  R, a6 w8 R2 M5 g    }
unloadpic()方法没有对文件类型进行验证
9 i- k& v* b; [* l* w5 f4 W
可以构建表单, 选择任意文件, 提交到
/index.php?app=w3g&mod=Index&act=doPost

在新提交的微博上可以找到上传的文件地址(去掉small_、middle_ 前缀)
) Y3 S8 r' l: y: l
. X: P  c# e& K1 I
; _. _% u7 _9 ^, c$ C9 d6 b在登录thinksns官方微博后,
( i( u1 f9 a8 Y构建以下表单:

: K# p2 @. @( s- f, w<form action="http://t.thinksns.com/index.php?app=w3g&mod=Index&act=doPost" method="post" enctype="multipart/form-data" />
<textarea name="content">test</textarea>
file: <input id="file" type="file" name="pic" />
<input type="submit" value="Post" />
6 u0 `+ [0 D+ X) x! G9 Q! l</form>
去掉缩略图的前缀(small_ )
0 I6 j* ~  ?: E0 ~( |4 S​修复方案：
% N/ p" D, ?# Y( J/ E
3 c' |7 Q5 ^7 f" f6 Y! M, A% S
9 _# Z( s. e' S/ q. J2 J! [- g\api\StatusesApi.class.php
- a: G7 s# n/ P+ n" O3 j
4 w7 o* t+ c7 Mfunction uploadpic(){
     /**
2 {; y; O# U5 |7 ~2 ^6 f4 g+ S& [      * 20121018 @yelo
3 E* Z8 A7 A. ?( q  ~      * 增加上传类型验证
      */
! L9 f3 e* J! H% i     $pathinfo = pathinfo($_FILES['pic']['name']);
     $ext = $pathinfo['extension'];
$allowExts = array('jpg', 'png', 'gif', 'jpeg');

( v' E  l  A0 I. h2 ]/ F7 w     $uploadCondition = $_FILES['pic'] && in_array(strtolower($ext),$allowExts,true);
- b4 Y# O$ S! p1 X2 `
     if( $uploadCondition ){
     //执行上传操作
+ [; F* G6 V5 _3 f' M     $savePath =  $this->_getSaveTempPath();
* e( m' O1 u! N2 F/ I     $filename = md5( time().'teste' ).'.'.substr($_FILES['pic']['name'],strpos($_FILES['pic']['name'],'.')+1);
* x& r) g- M$ P7 d2 a8 x5 F    if(@copy($_FILES['pic']['tmp_name'], $savePath.'/'.$filename) || @move_uploaded_file($_FILES['pic']['tmp_name'], $savePath.'/'.$filename))
       {
        $result['boolen']    = 1;
( m5 K7 P& C# D) m7 Y5 W        $result['type_data'] = 'temp/'.$filename;
# V5 z+ ], ~+ Y2 |        $result['picurl']    = SITE_PATH.'/uploads/temp/'.$filename;
       } else {
. o* c/ a6 K0 b4 n        $result['boolen']    = 0;
1 E  j2 B0 l8 N+ U        $result['message']   = '上传失败';
9 p4 D+ r% f# x5 S9 z& h       }
! X8 _* S+ b, R& @' ]  N+ d     }else{
         $result['boolen']    = 0;
         $result['message']   = '上传失败';
$ r( R$ L8 ^6 V: n9 c; P# K     }
4 u7 @) G) }9 \8 Greturn $result;
1 V2 f8 H+ W% y& q) ^. _% O5 M    }
4 `8 H* u0 z# f: A5 {​
& J# @5 g  ?& {  G& y