ThinkSNS 2.8任意文件上传漏洞及修复

admin

  微博上传图片时只在前端进行验证, 服务器端没有进行安全过滤。
, l# d& l* h& g7 g% Y2 ^

\api\StatusesApi.class.php

function uploadpic(){
      if( $_FILES['pic'] ){
0 Z1 O- \# V9 C/ D/ n+ q( E& x     //执行上传操作
4 ^" ~% @7 f$ F" ^% n% y     $savePath =  $this->_getSaveTempPath();
: V" r  g2 n, y5 _) A, w     $filename = md5( time().'teste' ).'.'.substr($_FILES['pic']['name'],strpos($_FILES['pic']['name'],'.')+1);
3 l5 }. Q% M# z' R$ ~8 f( k7 j$ P    if(@copy($_FILES['pic']['tmp_name'], $savePath.'/'.$filename) || @move_uploaded_file($_FILES['pic']['tmp_name'], $savePath.'/'.$filename))
       {
( _) S& u+ L- S: w! s% n6 B4 M7 f+ s        $result['boolen']    = 1;
        $result['type_data'] = 'temp/'.$filename;
2 Y* p& D$ r: f& Q# c! L& e        $result['picurl']    = SITE_PATH.'/uploads/temp/'.$filename;
       } else {
        $result['boolen']    = 0;
        $result['message']   = '上传失败';
! G& X6 k' y% W  n- n+ D0 f       }
     }else{
         $result['boolen']    = 0;
& W  ]  ?2 T$ k& e" w         $result['message']   = '上传失败';
     }
return $result;
    }
unloadpic()方法没有对文件类型进行验证
% z( J) I; q4 S( ^
- q/ b+ {% F% f$ y9 I0 }可以构建表单, 选择任意文件, 提交到
/index.php?app=w3g&mod=Index&act=doPost
& c# b- k: O1 j/ X3 `
在新提交的微博上可以找到上传的文件地址(去掉small_、middle_ 前缀)

5 C4 H- G$ R4 e0 A" q! D+ d$ ^5 U; ]
在登录thinksns官方微博后,
5 l% Z" X9 V' v构建以下表单:

" C4 w* X- ?6 a5 Q6 w" A<form action="http://t.thinksns.com/index.php?app=w3g&mod=Index&act=doPost" method="post" enctype="multipart/form-data" />
( C: t+ k' e1 C7 \; N! a: o<textarea name="content">test</textarea>
file: <input id="file" type="file" name="pic" />
<input type="submit" value="Post" />
4 X0 v! g% M2 ~; S</form>
/ w  t6 e5 n8 W. \; t( D3 w5 m去掉缩略图的前缀(small_ )
# Z- J6 D7 x9 I! r8 m8 f​修复方案：


! e' a" v9 s0 K  H" l, z- T* c\api\StatusesApi.class.php

function uploadpic(){
     /**
      * 20121018 @yelo
! b0 V, f  [' \3 X& d      * 增加上传类型验证
9 |, y; ]7 ^, ~2 s      */
     $pathinfo = pathinfo($_FILES['pic']['name']);
     $ext = $pathinfo['extension'];
, \; K' f0 Z$ u $allowExts = array('jpg', 'png', 'gif', 'jpeg');

     $uploadCondition = $_FILES['pic'] && in_array(strtolower($ext),$allowExts,true);

     if( $uploadCondition ){
     //执行上传操作
4 r. I- ?) s2 P+ b     $savePath =  $this->_getSaveTempPath();
0 m: b! A( H: n& @, K5 V     $filename = md5( time().'teste' ).'.'.substr($_FILES['pic']['name'],strpos($_FILES['pic']['name'],'.')+1);
& d! z5 ]& @5 V4 A6 A3 Q    if(@copy($_FILES['pic']['tmp_name'], $savePath.'/'.$filename) || @move_uploaded_file($_FILES['pic']['tmp_name'], $savePath.'/'.$filename))
# e! B0 K  U) O9 T3 t& u5 `       {
        $result['boolen']    = 1;
        $result['type_data'] = 'temp/'.$filename;
        $result['picurl']    = SITE_PATH.'/uploads/temp/'.$filename;
       } else {
- }" m  {. \# K& r# Z+ c        $result['boolen']    = 0;
        $result['message']   = '上传失败';
6 ]$ s' d, l9 b1 J* b0 [       }
     }else{
! w& a& A' v7 }8 r! @- ?         $result['boolen']    = 0;
         $result['message']   = '上传失败';
     }
7 y0 w+ }( l5 L4 {, I% |return $result;
, v  f4 N; ^1 [$ q2 r    }
% h/ U2 }( H4 c" _4 D​