ThinkSNS 2.8任意文件上传漏洞及修复

admin

  微博上传图片时只在前端进行验证, 服务器端没有进行安全过滤。

! `7 j' O. C% K3 Y$ R  e, u/ ?
6 }7 E. t6 A! X0 ]\api\StatusesApi.class.php
3 ~; _+ @9 @1 }) l
function uploadpic(){
      if( $_FILES['pic'] ){
     //执行上传操作
3 r4 B" N7 R3 k3 \1 [     $savePath =  $this->_getSaveTempPath();
( m+ J2 h) \5 ^9 J- B$ M+ i     $filename = md5( time().'teste' ).'.'.substr($_FILES['pic']['name'],strpos($_FILES['pic']['name'],'.')+1);
9 M4 l; o) d7 Z' N! e, u0 R" v    if(@copy($_FILES['pic']['tmp_name'], $savePath.'/'.$filename) || @move_uploaded_file($_FILES['pic']['tmp_name'], $savePath.'/'.$filename))
       {
' C" _9 a$ ?! C4 B        $result['boolen']    = 1;
5 ?/ ~9 v1 H4 _/ d        $result['type_data'] = 'temp/'.$filename;
        $result['picurl']    = SITE_PATH.'/uploads/temp/'.$filename;
- _1 ^3 g1 p6 @& C: F- l+ f       } else {
        $result['boolen']    = 0;
        $result['message']   = '上传失败';
1 J' d7 j8 R0 E# h+ M* ?       }
     }else{
         $result['boolen']    = 0;
         $result['message']   = '上传失败';
     }
return $result;
# ~, b0 L( j- a! f6 Y) v    }
unloadpic()方法没有对文件类型进行验证
* {; n$ d0 N5 E+ [4 Z: z: O* s
可以构建表单, 选择任意文件, 提交到
/index.php?app=w3g&mod=Index&act=doPost

在新提交的微博上可以找到上传的文件地址(去掉small_、middle_ 前缀)
$ T9 G7 o+ U4 U( w" |% P# u+ Q
; W( Y; r0 l* @* c* C9 I" C& [8 e9 e
在登录thinksns官方微博后,
构建以下表单:
1 j0 R# T" S7 S5 N
, r" [5 C8 h# a# @3 s0 U. _<form action="http://t.thinksns.com/index.php?app=w3g&mod=Index&act=doPost" method="post" enctype="multipart/form-data" />
<textarea name="content">test</textarea>
file: <input id="file" type="file" name="pic" />
<input type="submit" value="Post" />
</form>
去掉缩略图的前缀(small_ )
  S: u# f( c: a3 D​修复方案：
% q! ^4 c1 X5 a& n( q9 T! D
2 ~6 D- |& O. P+ O
\api\StatusesApi.class.php

2 ?6 N) v8 v/ g* k% L4 w2 m7 ^" nfunction uploadpic(){
     /**
      * 20121018 @yelo
      * 增加上传类型验证
      */
     $pathinfo = pathinfo($_FILES['pic']['name']);
     $ext = $pathinfo['extension'];
$allowExts = array('jpg', 'png', 'gif', 'jpeg');

( J3 x5 z) Y2 |! U$ o     $uploadCondition = $_FILES['pic'] && in_array(strtolower($ext),$allowExts,true);
  _' h1 ~% s4 H
1 A# z% U! R  G1 H# {$ W     if( $uploadCondition ){
     //执行上传操作
7 l: u, O% U5 y, L) g9 x     $savePath =  $this->_getSaveTempPath();
, _* R. [- B! |- U( ]     $filename = md5( time().'teste' ).'.'.substr($_FILES['pic']['name'],strpos($_FILES['pic']['name'],'.')+1);
    if(@copy($_FILES['pic']['tmp_name'], $savePath.'/'.$filename) || @move_uploaded_file($_FILES['pic']['tmp_name'], $savePath.'/'.$filename))
$ |; ?/ R( r0 k1 x9 k- [3 V. V- V       {
        $result['boolen']    = 1;
        $result['type_data'] = 'temp/'.$filename;
1 I7 ?/ @+ s( S# ?" b% i2 J- e        $result['picurl']    = SITE_PATH.'/uploads/temp/'.$filename;
/ a' f# X& |, @( j  Z' Q       } else {
        $result['boolen']    = 0;
        $result['message']   = '上传失败';
       }
+ w9 O: v/ j" q1 t( R6 r     }else{
         $result['boolen']    = 0;
5 b) N2 x) b4 T) N         $result['message']   = '上传失败';
     }
return $result;
    }
​
6 I- Z' w4 n& e. R/ b( i