ThinkSNS 2.8任意文件上传漏洞及修复

admin

  微博上传图片时只在前端进行验证, 服务器端没有进行安全过滤。

0 x9 O) o9 m! h' W
\api\StatusesApi.class.php

function uploadpic(){
      if( $_FILES['pic'] ){
# [5 C$ ^% w, Z5 ]. `) W     //执行上传操作
6 K# }' m* q; `# S3 l. C6 _     $savePath =  $this->_getSaveTempPath();
     $filename = md5( time().'teste' ).'.'.substr($_FILES['pic']['name'],strpos($_FILES['pic']['name'],'.')+1);
    if(@copy($_FILES['pic']['tmp_name'], $savePath.'/'.$filename) || @move_uploaded_file($_FILES['pic']['tmp_name'], $savePath.'/'.$filename))
% n6 u/ M7 j; L5 Q3 D" ~2 e       {
        $result['boolen']    = 1;
6 J+ f+ a+ o( }) M        $result['type_data'] = 'temp/'.$filename;
        $result['picurl']    = SITE_PATH.'/uploads/temp/'.$filename;
3 F" [8 M* p4 h1 \- Y# n+ D8 L       } else {
        $result['boolen']    = 0;
; C* @4 X3 |" M& }' F        $result['message']   = '上传失败';
       }
2 `9 b* `, r) S: ]/ O4 N8 q     }else{
         $result['boolen']    = 0;
. E8 V8 n. n& O8 W2 \, ^( e1 w         $result['message']   = '上传失败';
- Y9 B) b1 V1 G  G4 Q+ K0 B9 B     }
+ Q6 r4 q3 ^1 o( Xreturn $result;
9 [+ |% c- M2 h- ], ^2 d    }
unloadpic()方法没有对文件类型进行验证
8 E* a, d4 s6 ]2 ?" F. X
9 B0 q& E$ w5 h' M可以构建表单, 选择任意文件, 提交到
/index.php?app=w3g&mod=Index&act=doPost

! d0 \4 v; v" h9 X! |在新提交的微博上可以找到上传的文件地址(去掉small_、middle_ 前缀)

: a: h8 `6 ?4 z/ E
在登录thinksns官方微博后,
& `5 J3 \  U5 b8 |4 x% y构建以下表单:

# U' q) S6 D) q3 n<form action="http://t.thinksns.com/index.php?app=w3g&mod=Index&act=doPost" method="post" enctype="multipart/form-data" />
7 _  A, n5 C. R: \+ L& I<textarea name="content">test</textarea>
file: <input id="file" type="file" name="pic" />
+ P5 V. F$ m4 `; F! Y$ F: Z<input type="submit" value="Post" />
</form>
4 O  y8 G1 S" K1 `/ N0 H* ^- u去掉缩略图的前缀(small_ )
/ c4 T* ]% k, ?( E7 Z! z4 V4 k5 G​修复方案：


1 _, _$ o4 K- g- f: l\api\StatusesApi.class.php

8 r  J2 g" C/ O0 T$ mfunction uploadpic(){
     /**
9 P# w- E% s% v" v! E3 z! M      * 20121018 @yelo
      * 增加上传类型验证
      */
" V) m& {- B  ~! M- ]! @* W     $pathinfo = pathinfo($_FILES['pic']['name']);
     $ext = $pathinfo['extension'];
$allowExts = array('jpg', 'png', 'gif', 'jpeg');
/ l* v( C, W  z+ J( g
     $uploadCondition = $_FILES['pic'] && in_array(strtolower($ext),$allowExts,true);
$ _) e: U4 m; A# C
; E4 R0 }4 W' j$ b     if( $uploadCondition ){
     //执行上传操作
     $savePath =  $this->_getSaveTempPath();
     $filename = md5( time().'teste' ).'.'.substr($_FILES['pic']['name'],strpos($_FILES['pic']['name'],'.')+1);
    if(@copy($_FILES['pic']['tmp_name'], $savePath.'/'.$filename) || @move_uploaded_file($_FILES['pic']['tmp_name'], $savePath.'/'.$filename))
: S0 Z) h! Q7 F9 ]       {
3 F+ k6 J! b/ I. J/ a. X- v5 G        $result['boolen']    = 1;
8 Y  ?, X4 f6 N& E3 U( t        $result['type_data'] = 'temp/'.$filename;
6 H) W6 c3 A( T( z" P        $result['picurl']    = SITE_PATH.'/uploads/temp/'.$filename;
; F& x! l) X; d' ~1 z       } else {
        $result['boolen']    = 0;
        $result['message']   = '上传失败';
       }
     }else{
         $result['boolen']    = 0;
7 M0 q% L* n# h9 t+ [* t' e         $result['message']   = '上传失败';
     }
5 M/ e8 C& D9 K9 P+ C6 Jreturn $result;
  z- t( r) q1 U! _) U; v! b6 ~$ q9 @+ A    }
​