ThinkSNS 2.8任意文件上传漏洞及修复

admin

  微博上传图片时只在前端进行验证, 服务器端没有进行安全过滤。

, e  ^* w% F" E, _. g
\api\StatusesApi.class.php
% R6 x3 e$ o; g8 a% s
function uploadpic(){
7 Z9 X" p  T, M7 A% |      if( $_FILES['pic'] ){
     //执行上传操作
     $savePath =  $this->_getSaveTempPath();
     $filename = md5( time().'teste' ).'.'.substr($_FILES['pic']['name'],strpos($_FILES['pic']['name'],'.')+1);
    if(@copy($_FILES['pic']['tmp_name'], $savePath.'/'.$filename) || @move_uploaded_file($_FILES['pic']['tmp_name'], $savePath.'/'.$filename))
' W8 B; `8 a; m" X4 D. D       {
        $result['boolen']    = 1;
        $result['type_data'] = 'temp/'.$filename;
        $result['picurl']    = SITE_PATH.'/uploads/temp/'.$filename;
% z9 d7 X% }2 ^: E       } else {
- K  R# e# [6 N0 a# h( ^; {        $result['boolen']    = 0;
/ D0 y$ E3 V+ X( \* B        $result['message']   = '上传失败';
       }
2 L7 K  h, y: Y  j6 R6 o" S) E' G     }else{
         $result['boolen']    = 0;
         $result['message']   = '上传失败';
2 N- s6 G. [  L; H* g/ z- r9 R     }
return $result;
    }
: f) Q5 c- u, h0 A1 yunloadpic()方法没有对文件类型进行验证

+ ]) u# t3 L9 m3 }可以构建表单, 选择任意文件, 提交到
/index.php?app=w3g&mod=Index&act=doPost

$ j" [1 \& X) C! L7 D& Y在新提交的微博上可以找到上传的文件地址(去掉small_、middle_ 前缀)
" K  K0 n5 B% Y8 K6 x/ Y

' W+ }/ w! V: C在登录thinksns官方微博后,
构建以下表单:

<form action="http://t.thinksns.com/index.php?app=w3g&mod=Index&act=doPost" method="post" enctype="multipart/form-data" />
<textarea name="content">test</textarea>
+ g! Y+ O6 q) a2 y+ T+ M- wfile: <input id="file" type="file" name="pic" />
; {! p/ o$ ^0 ?. H<input type="submit" value="Post" />
! _8 B* ]* K# q9 k! c2 K4 U</form>
去掉缩略图的前缀(small_ )
​修复方案：
9 }2 [! a6 z, h

, M% n2 x1 g$ R8 o* y/ Q1 E\api\StatusesApi.class.php

5 p  k# }/ H& z4 Dfunction uploadpic(){
* S' h0 e7 i& d' y- }+ V0 w" C     /**
# [( i8 ?7 S9 ?; N      * 20121018 @yelo
/ n+ j$ @0 d7 \" |8 n      * 增加上传类型验证
      */
     $pathinfo = pathinfo($_FILES['pic']['name']);
$ {, \3 q# @# C" N: s7 c* z" D     $ext = $pathinfo['extension'];
$allowExts = array('jpg', 'png', 'gif', 'jpeg');

     $uploadCondition = $_FILES['pic'] && in_array(strtolower($ext),$allowExts,true);

+ X3 w9 h5 v3 q9 c; a" w% K     if( $uploadCondition ){
     //执行上传操作
     $savePath =  $this->_getSaveTempPath();
; g6 H4 B& n2 Q9 O     $filename = md5( time().'teste' ).'.'.substr($_FILES['pic']['name'],strpos($_FILES['pic']['name'],'.')+1);
    if(@copy($_FILES['pic']['tmp_name'], $savePath.'/'.$filename) || @move_uploaded_file($_FILES['pic']['tmp_name'], $savePath.'/'.$filename))
       {
2 d& y% Y4 ~5 I: }+ u6 E) [        $result['boolen']    = 1;
2 Y/ A( r, G- f3 k$ N9 l) I        $result['type_data'] = 'temp/'.$filename;
        $result['picurl']    = SITE_PATH.'/uploads/temp/'.$filename;
( @* t0 b3 Y1 O+ t0 a( N! y1 X       } else {
$ ^* K# @) `. h3 T7 |7 f! j4 ^5 d        $result['boolen']    = 0;
        $result['message']   = '上传失败';
       }
& |! C4 _2 `4 E/ [; d7 Q     }else{
         $result['boolen']    = 0;
/ D8 O: r" r# k0 F: t         $result['message']   = '上传失败';
     }
return $result;
6 M; [( l3 F) }" ]" o- ?    }
4 s0 {/ f( M9 V9 X/ C4 f6 {  ]​