ThinkSNS 2.8任意文件上传漏洞及修复

admin

  微博上传图片时只在前端进行验证, 服务器端没有进行安全过滤。

! H1 o2 z7 j2 K7 b: u
\api\StatusesApi.class.php
0 Z: O3 h* @: `' u' W1 L
function uploadpic(){
      if( $_FILES['pic'] ){
     //执行上传操作
     $savePath =  $this->_getSaveTempPath();
     $filename = md5( time().'teste' ).'.'.substr($_FILES['pic']['name'],strpos($_FILES['pic']['name'],'.')+1);
    if(@copy($_FILES['pic']['tmp_name'], $savePath.'/'.$filename) || @move_uploaded_file($_FILES['pic']['tmp_name'], $savePath.'/'.$filename))
       {
# {: L+ w- A4 X$ h/ F  U* r+ l        $result['boolen']    = 1;
        $result['type_data'] = 'temp/'.$filename;
        $result['picurl']    = SITE_PATH.'/uploads/temp/'.$filename;
; b, J+ F! b6 d0 o  Q  ^& K( L       } else {
+ o2 `. l, r8 P: i8 E$ B7 W        $result['boolen']    = 0;
        $result['message']   = '上传失败';
       }
1 t2 e" X+ [4 _! K8 ~! b     }else{
% s' G! x3 v  i2 m1 j1 X4 U         $result['boolen']    = 0;
7 c# d$ d! ?  ~# n7 F! B5 U0 f         $result['message']   = '上传失败';
     }
, w9 E9 U9 M5 e# x: x/ K! ureturn $result;
    }
unloadpic()方法没有对文件类型进行验证

8 d2 E7 c8 o& H可以构建表单, 选择任意文件, 提交到
/index.php?app=w3g&mod=Index&act=doPost

4 |5 ?# t' y# N( _5 G在新提交的微博上可以找到上传的文件地址(去掉small_、middle_ 前缀)
- P  M0 _$ h! x* x! Z

1 B2 X9 ]# `- K5 \( C7 I在登录thinksns官方微博后,
9 i& R$ ~7 x3 F; ]2 u( U" ^. }构建以下表单:
1 q# j: m2 i' P2 N% J
3 Z1 B; g! u3 [<form action="http://t.thinksns.com/index.php?app=w3g&mod=Index&act=doPost" method="post" enctype="multipart/form-data" />
2 s7 k- {1 V( d" y" a<textarea name="content">test</textarea>
! H  g, ~' U0 L& bfile: <input id="file" type="file" name="pic" />
<input type="submit" value="Post" />
1 @  w% O! `8 H: Y& U+ L</form>
去掉缩略图的前缀(small_ )
0 T5 h0 L6 a* ^# ?$ w​修复方案：

4 [( T  @- _4 S
\api\StatusesApi.class.php
+ H/ E$ Y) M# p& F6 m/ O& r" _
function uploadpic(){
! R+ o1 ?  T0 o0 C     /**
, b1 R8 |4 }9 I+ d! d( w7 d      * 20121018 @yelo
      * 增加上传类型验证
' g, a+ ^" K! c  Y+ j$ |: {      */
3 W) w* N7 ^% M  z! |     $pathinfo = pathinfo($_FILES['pic']['name']);
3 [$ O  E& A  ]- p2 b: {- o     $ext = $pathinfo['extension'];
$allowExts = array('jpg', 'png', 'gif', 'jpeg');
8 o: m, r/ q% b  p9 M# J
# V) y! M( ?8 ?: B( Q     $uploadCondition = $_FILES['pic'] && in_array(strtolower($ext),$allowExts,true);

     if( $uploadCondition ){
     //执行上传操作
1 x2 j/ _2 F- ]; }; }) C; @: x% R     $savePath =  $this->_getSaveTempPath();
( h7 S& `5 \: j4 E4 `     $filename = md5( time().'teste' ).'.'.substr($_FILES['pic']['name'],strpos($_FILES['pic']['name'],'.')+1);
$ ?6 x2 K5 j+ x- ^) x    if(@copy($_FILES['pic']['tmp_name'], $savePath.'/'.$filename) || @move_uploaded_file($_FILES['pic']['tmp_name'], $savePath.'/'.$filename))
' l# ^/ ?) ]  e       {
2 l6 q. S" ^: o. |        $result['boolen']    = 1;
        $result['type_data'] = 'temp/'.$filename;
        $result['picurl']    = SITE_PATH.'/uploads/temp/'.$filename;
       } else {
  f$ Q& u/ w4 S. L! X        $result['boolen']    = 0;
        $result['message']   = '上传失败';
       }
3 A% h+ W7 j+ t# O     }else{
         $result['boolen']    = 0;
         $result['message']   = '上传失败';
. J" A2 S# ]. G5 j0 n3 X" W     }
, n. v" L  d6 v7 Kreturn $result;
1 }+ a( D9 X, f! D8 r    }
​
1 Z4 E' ^" ~1 P5 l0 T
# P7 f1 A' ]- v5 w5 j