ThinkSNS 2.8任意文件上传漏洞及修复

admin

  微博上传图片时只在前端进行验证, 服务器端没有进行安全过滤。


4 l( Z  c1 Q1 I0 K2 y\api\StatusesApi.class.php
% ~; k. U) S0 v  W$ H( `( c5 e  z, J, h
( v4 N7 }# n* l3 ]function uploadpic(){
      if( $_FILES['pic'] ){
; h& \. @* X4 b6 x1 }; B) \     //执行上传操作
     $savePath =  $this->_getSaveTempPath();
3 E% R0 ?+ |! X     $filename = md5( time().'teste' ).'.'.substr($_FILES['pic']['name'],strpos($_FILES['pic']['name'],'.')+1);
    if(@copy($_FILES['pic']['tmp_name'], $savePath.'/'.$filename) || @move_uploaded_file($_FILES['pic']['tmp_name'], $savePath.'/'.$filename))
       {
        $result['boolen']    = 1;
; L1 E4 m3 ]" Q. r* C4 _# f        $result['type_data'] = 'temp/'.$filename;
        $result['picurl']    = SITE_PATH.'/uploads/temp/'.$filename;
9 C, V0 Z$ |! R9 S       } else {
        $result['boolen']    = 0;
        $result['message']   = '上传失败';
       }
     }else{
* ]9 p" i/ }1 K: I. y3 b# u         $result['boolen']    = 0;
         $result['message']   = '上传失败';
     }
return $result;
+ S* E$ G. z! Y. M2 z/ `    }
unloadpic()方法没有对文件类型进行验证
# t  K# ~4 w2 h" v1 w1 L) _# c/ [
  T6 ^3 G" ~( I. M* _; h4 U可以构建表单, 选择任意文件, 提交到
/index.php?app=w3g&mod=Index&act=doPost

在新提交的微博上可以找到上传的文件地址(去掉small_、middle_ 前缀)
& M7 w7 a" h# D# Q8 J

在登录thinksns官方微博后,
, f. g2 }/ o; q0 s: [' o构建以下表单:

+ X# S5 ~0 }$ {; d<form action="http://t.thinksns.com/index.php?app=w3g&mod=Index&act=doPost" method="post" enctype="multipart/form-data" />
8 C5 a/ w# p2 I% v<textarea name="content">test</textarea>
file: <input id="file" type="file" name="pic" />
6 k' I6 s% H! u<input type="submit" value="Post" />
8 u" V; |/ p) Q" i</form>
去掉缩略图的前缀(small_ )
​修复方案：


2 f4 e/ Y8 Q3 i. S. J\api\StatusesApi.class.php

, c! [5 N7 ~8 l: I5 [function uploadpic(){
$ S. M4 t0 V" |* j1 \- E     /**
; @: {$ k$ F) L. X' D" C      * 20121018 @yelo
* l2 |9 V- `0 a      * 增加上传类型验证
      */
3 m6 S, {7 A* m+ D$ O# A( }     $pathinfo = pathinfo($_FILES['pic']['name']);
     $ext = $pathinfo['extension'];
$allowExts = array('jpg', 'png', 'gif', 'jpeg');
/ _# s4 W' x" K! r7 G7 w
' ?$ C6 B3 r( k1 z     $uploadCondition = $_FILES['pic'] && in_array(strtolower($ext),$allowExts,true);

( {  w$ G9 b2 `$ Z     if( $uploadCondition ){
3 t2 }( ]# {- `: J! b  H     //执行上传操作
0 y% y/ b  x. z1 H: B" N     $savePath =  $this->_getSaveTempPath();
0 y* |% U% ]' D% x; ]! F     $filename = md5( time().'teste' ).'.'.substr($_FILES['pic']['name'],strpos($_FILES['pic']['name'],'.')+1);
; C# N2 q! }/ t1 m; h2 B    if(@copy($_FILES['pic']['tmp_name'], $savePath.'/'.$filename) || @move_uploaded_file($_FILES['pic']['tmp_name'], $savePath.'/'.$filename))
       {
        $result['boolen']    = 1;
        $result['type_data'] = 'temp/'.$filename;
: P- s$ `  w6 Q/ y! g        $result['picurl']    = SITE_PATH.'/uploads/temp/'.$filename;
3 U6 e/ }, ]  g1 N/ ?; J. ~# Y" ]* _       } else {
        $result['boolen']    = 0;
2 s$ h/ Z2 i6 B& ^( Y% Y* R        $result['message']   = '上传失败';
       }
     }else{
* z) r. F  |& r$ y0 l         $result['boolen']    = 0;
0 W5 n) O; q# H! L- a8 @$ X         $result['message']   = '上传失败';
, G7 E( ^4 u6 T4 k. V0 I     }
return $result;
; S) F9 v1 w8 V* i. L: W7 q( f    }
​
2 J/ T. R$ E; D4 d$ P* n9 @# n
; @3 w$ ~! F+ A0 h+ O4 F2 p