ThinkSNS 2.8任意文件上传漏洞及修复

admin

  微博上传图片时只在前端进行验证, 服务器端没有进行安全过滤。


\api\StatusesApi.class.php

function uploadpic(){
1 g) }9 u6 i2 ~      if( $_FILES['pic'] ){
% t( |4 B* B8 ?6 s0 n7 W     //执行上传操作
     $savePath =  $this->_getSaveTempPath();
     $filename = md5( time().'teste' ).'.'.substr($_FILES['pic']['name'],strpos($_FILES['pic']['name'],'.')+1);
% [+ V3 n4 `0 t" N4 v1 P& g    if(@copy($_FILES['pic']['tmp_name'], $savePath.'/'.$filename) || @move_uploaded_file($_FILES['pic']['tmp_name'], $savePath.'/'.$filename))
       {
        $result['boolen']    = 1;
        $result['type_data'] = 'temp/'.$filename;
. x$ V+ O/ e) J  B1 x        $result['picurl']    = SITE_PATH.'/uploads/temp/'.$filename;
       } else {
3 M! ?9 v3 n/ f, a# ^8 ~0 c& y( j        $result['boolen']    = 0;
  _: T: ^. x+ U' K; U3 Y& N        $result['message']   = '上传失败';
       }
     }else{
  O3 {% M3 k/ D3 k9 f( ~         $result['boolen']    = 0;
         $result['message']   = '上传失败';
     }
return $result;
    }
; z2 v- \- J+ u7 cunloadpic()方法没有对文件类型进行验证
. i: X0 m0 k- j7 Q
可以构建表单, 选择任意文件, 提交到
' O- J" y% `% _/ q! L/index.php?app=w3g&mod=Index&act=doPost

在新提交的微博上可以找到上传的文件地址(去掉small_、middle_ 前缀)

% ~0 W7 U* v" B0 X
# k+ q7 ?% z" H" J* b* ^  z在登录thinksns官方微博后,
1 N. I. o; T. b构建以下表单:

<form action="http://t.thinksns.com/index.php?app=w3g&mod=Index&act=doPost" method="post" enctype="multipart/form-data" />
( ^4 O. w4 O5 b% z; z5 I# ^- k0 i<textarea name="content">test</textarea>
file: <input id="file" type="file" name="pic" />
<input type="submit" value="Post" />
6 H% X# l% ?" ]6 k, U</form>
去掉缩略图的前缀(small_ )
2 `+ b! J9 N8 y. y7 @8 B​修复方案：


\api\StatusesApi.class.php
  E" j9 d& _1 Z6 k% F
; ]) A7 G) w/ Nfunction uploadpic(){
     /**
      * 20121018 @yelo
( \) O8 ^) B2 k7 n7 i& ]      * 增加上传类型验证
9 o: D* v8 ], \: q& C/ w$ l( @. C      */
0 K. h( W  I4 p* r. a. `6 Q% \     $pathinfo = pathinfo($_FILES['pic']['name']);
     $ext = $pathinfo['extension'];
$allowExts = array('jpg', 'png', 'gif', 'jpeg');

: T+ I' Q4 C6 r8 R( d, k     $uploadCondition = $_FILES['pic'] && in_array(strtolower($ext),$allowExts,true);
$ m! E5 H* Z3 w# A- ]
     if( $uploadCondition ){
2 _8 u6 q4 L1 R3 t  h, [     //执行上传操作
     $savePath =  $this->_getSaveTempPath();
+ A4 ?8 {. e1 Q1 w; l     $filename = md5( time().'teste' ).'.'.substr($_FILES['pic']['name'],strpos($_FILES['pic']['name'],'.')+1);
0 F! J; x4 o5 g" C1 n, N    if(@copy($_FILES['pic']['tmp_name'], $savePath.'/'.$filename) || @move_uploaded_file($_FILES['pic']['tmp_name'], $savePath.'/'.$filename))
& ?$ Y6 Z7 M4 O; ^" T2 m       {
: C' d) _/ J9 f7 v* R        $result['boolen']    = 1;
, j: H; d+ \5 H2 v8 }        $result['type_data'] = 'temp/'.$filename;
        $result['picurl']    = SITE_PATH.'/uploads/temp/'.$filename;
* x- S; F9 |6 I+ m* m7 P3 D; M, i8 O' ~       } else {
        $result['boolen']    = 0;
        $result['message']   = '上传失败';
       }
# @3 _  W0 P. L8 S3 W# Y/ ?7 Y     }else{
         $result['boolen']    = 0;
         $result['message']   = '上传失败';
     }
! K- j) K3 x9 Xreturn $result;
    }
  X8 r7 H# S% [) B3 g​
; `, E  W7 G% n) A
+ Z- w8 p" X( ?, y1 n5 D5 f/ d9 Y