ThinkSNS 2.8任意文件上传漏洞及修复

admin

  微博上传图片时只在前端进行验证, 服务器端没有进行安全过滤。

! a- {/ F( z) Y+ D: _5 s0 x
/ P. N& z1 a+ }! k3 h\api\StatusesApi.class.php
, z1 {3 O2 B+ J9 A8 {6 E$ h' T
/ {) s* m6 Z- B, {6 x8 f& Hfunction uploadpic(){
      if( $_FILES['pic'] ){
. M( M8 V/ X& \     //执行上传操作
" `& ^1 Y9 e  ?+ t/ [5 T- W     $savePath =  $this->_getSaveTempPath();
     $filename = md5( time().'teste' ).'.'.substr($_FILES['pic']['name'],strpos($_FILES['pic']['name'],'.')+1);
2 o2 m4 Y8 c% O7 q& M% z    if(@copy($_FILES['pic']['tmp_name'], $savePath.'/'.$filename) || @move_uploaded_file($_FILES['pic']['tmp_name'], $savePath.'/'.$filename))
       {
5 B/ [- y& `& [2 I2 l- {- f, }2 k2 b! p        $result['boolen']    = 1;
9 W" Y& O6 S# p        $result['type_data'] = 'temp/'.$filename;
$ H% }& ]3 w/ z$ X# [0 J        $result['picurl']    = SITE_PATH.'/uploads/temp/'.$filename;
       } else {
; M: G0 L( l' q3 h# s        $result['boolen']    = 0;
1 [4 ?8 f% o  V+ P! a        $result['message']   = '上传失败';
       }
8 G% d1 I" l! Y. s; a     }else{
: D/ N* [+ p- b  c0 p         $result['boolen']    = 0;
+ \" K! [! ^/ q* d' P         $result['message']   = '上传失败';
     }
# k" ^9 o& E" B: U+ I1 h3 ^return $result;
, X+ y2 B# M& R4 ^( j- H    }
unloadpic()方法没有对文件类型进行验证
) u- h2 G0 N0 U
可以构建表单, 选择任意文件, 提交到
9 [+ k2 ~6 j9 u5 I* q/index.php?app=w3g&mod=Index&act=doPost

  g4 A) ?' Y8 b: F8 I在新提交的微博上可以找到上传的文件地址(去掉small_、middle_ 前缀)
. l- e- Y7 U! I( u9 Z$ E, g

; ^" D& x$ q9 n+ n& j' \, ?) K在登录thinksns官方微博后,
' |8 j/ ~* T9 D. G! e构建以下表单:
5 n5 v: e& }# ~% q  _2 h
8 Z8 L( `" c! x5 Q/ h8 B6 @<form action="http://t.thinksns.com/index.php?app=w3g&mod=Index&act=doPost" method="post" enctype="multipart/form-data" />
<textarea name="content">test</textarea>
file: <input id="file" type="file" name="pic" />
<input type="submit" value="Post" />
</form>
" l: r9 b& }3 n% b去掉缩略图的前缀(small_ )
​修复方案：

) r0 B1 v" o3 Z! \, \- ~7 s
\api\StatusesApi.class.php

7 r% P6 e2 h. E5 z% s" D+ _function uploadpic(){
     /**
      * 20121018 @yelo
  D0 z  {& X0 i      * 增加上传类型验证
      */
     $pathinfo = pathinfo($_FILES['pic']['name']);
# R- F/ y6 `5 N; M* d6 e     $ext = $pathinfo['extension'];
, `2 O: s5 J4 O# x# [( l $allowExts = array('jpg', 'png', 'gif', 'jpeg');
, H7 E+ i" X, v. P# z( `4 B
# }- B$ Z1 D$ T     $uploadCondition = $_FILES['pic'] && in_array(strtolower($ext),$allowExts,true);
! ^& x) ?& H7 o& I/ z7 x
     if( $uploadCondition ){
     //执行上传操作
     $savePath =  $this->_getSaveTempPath();
( O6 k- m1 Q3 |) z     $filename = md5( time().'teste' ).'.'.substr($_FILES['pic']['name'],strpos($_FILES['pic']['name'],'.')+1);
; o  W. l* t  q    if(@copy($_FILES['pic']['tmp_name'], $savePath.'/'.$filename) || @move_uploaded_file($_FILES['pic']['tmp_name'], $savePath.'/'.$filename))
       {
# i" K( }8 Q6 _2 R5 L( M        $result['boolen']    = 1;
        $result['type_data'] = 'temp/'.$filename;
        $result['picurl']    = SITE_PATH.'/uploads/temp/'.$filename;
       } else {
/ L) v; E/ Q: ^! R4 D7 M7 k1 B        $result['boolen']    = 0;
        $result['message']   = '上传失败';
       }
0 f. R1 O# S" a3 Y8 K0 ^     }else{
4 ]9 O  L+ `4 L7 s; v) X         $result['boolen']    = 0;
" h& k8 \7 K% P% M         $result['message']   = '上传失败';
     }
return $result;
    }
​
( A" x* `, p5 @8 l3 d7 u7 }7 w
8 o$ T1 D" p2 H