ThinkSNS 2.8任意文件上传漏洞及修复

admin

  微博上传图片时只在前端进行验证, 服务器端没有进行安全过滤。
1 I. D+ m4 y. D3 f7 E% ~. I

\api\StatusesApi.class.php
6 g7 k& f. y3 R
function uploadpic(){
: t7 |1 V4 n' x% k/ e, X      if( $_FILES['pic'] ){
     //执行上传操作
     $savePath =  $this->_getSaveTempPath();
2 V, D% p, \( e5 m2 v8 V     $filename = md5( time().'teste' ).'.'.substr($_FILES['pic']['name'],strpos($_FILES['pic']['name'],'.')+1);
* e( x  ]2 t  D8 ~    if(@copy($_FILES['pic']['tmp_name'], $savePath.'/'.$filename) || @move_uploaded_file($_FILES['pic']['tmp_name'], $savePath.'/'.$filename))
       {
        $result['boolen']    = 1;
        $result['type_data'] = 'temp/'.$filename;
  d) v) b7 L4 ], w9 {2 _        $result['picurl']    = SITE_PATH.'/uploads/temp/'.$filename;
       } else {
$ G# R+ U+ v" H3 w; `& _1 m        $result['boolen']    = 0;
/ [; m" `7 T( q( B5 {" o  j! P        $result['message']   = '上传失败';
       }
     }else{
         $result['boolen']    = 0;
         $result['message']   = '上传失败';
7 {( u: i& ?# Q: M1 F) n2 ~- o6 a     }
return $result;
: |( v" s6 u; |2 O! Y    }
+ \. w! q" W2 j- Vunloadpic()方法没有对文件类型进行验证
3 e4 F! l! [! N: Z( B( |5 T- O
1 k# R) E4 e8 Z可以构建表单, 选择任意文件, 提交到
/index.php?app=w3g&mod=Index&act=doPost

在新提交的微博上可以找到上传的文件地址(去掉small_、middle_ 前缀)

% `+ G+ V+ `" S( _9 h
* X( S' C  x- K9 n) S, u# c  B* a6 W在登录thinksns官方微博后,
9 U5 n- c9 J2 Y( O( k/ |构建以下表单:

9 \+ J' \+ V6 _$ y5 p& M- [<form action="http://t.thinksns.com/index.php?app=w3g&mod=Index&act=doPost" method="post" enctype="multipart/form-data" />
<textarea name="content">test</textarea>
file: <input id="file" type="file" name="pic" />
<input type="submit" value="Post" />
: O2 A* V- |9 [6 Z. G& R</form>
去掉缩略图的前缀(small_ )
​修复方案：


\api\StatusesApi.class.php
( a, ?! u& C+ _* f( N+ \, ]& @
function uploadpic(){
     /**
      * 20121018 @yelo
      * 增加上传类型验证
$ a6 c& q9 q9 I2 \. ]! F% g: Y      */
1 f/ Z2 X% {$ L! m% i9 Z     $pathinfo = pathinfo($_FILES['pic']['name']);
3 F6 j+ Y$ K. X7 J# \* k! b7 o; \     $ext = $pathinfo['extension'];
$allowExts = array('jpg', 'png', 'gif', 'jpeg');
  b9 p1 S* V: M% S
! A+ ^  _, }3 [  T! A     $uploadCondition = $_FILES['pic'] && in_array(strtolower($ext),$allowExts,true);
7 J4 P9 m% S1 {. J  }" `
( y1 M( w4 U2 f! Q; a     if( $uploadCondition ){
% @# o: r( x8 R4 X# w  I- x0 W( r     //执行上传操作
     $savePath =  $this->_getSaveTempPath();
     $filename = md5( time().'teste' ).'.'.substr($_FILES['pic']['name'],strpos($_FILES['pic']['name'],'.')+1);
    if(@copy($_FILES['pic']['tmp_name'], $savePath.'/'.$filename) || @move_uploaded_file($_FILES['pic']['tmp_name'], $savePath.'/'.$filename))
       {
/ E- r; \! R7 `1 A8 v, l        $result['boolen']    = 1;
        $result['type_data'] = 'temp/'.$filename;
1 b$ _  O. i( g, J/ }        $result['picurl']    = SITE_PATH.'/uploads/temp/'.$filename;
* P" k' H, q& ~* }+ j6 J       } else {
        $result['boolen']    = 0;
5 E$ Q* _; p+ o% d6 p8 X! |        $result['message']   = '上传失败';
       }
4 g+ E( V+ r" ?4 p" n     }else{
: S. D0 X# y9 \         $result['boolen']    = 0;
* [8 z! I. c2 S         $result['message']   = '上传失败';
     }
return $result;
* v, Y3 |6 A' J1 O7 p0 u* O    }
​