ThinkSNS 2.8任意文件上传漏洞及修复

admin

  微博上传图片时只在前端进行验证, 服务器端没有进行安全过滤。
. q- w& G: v  s- Q6 g
, v" Z% _% @  _& v
\api\StatusesApi.class.php
& g4 J, c# _3 U, l7 T1 U
6 M1 [# f8 Z, G7 C3 P* Z4 [function uploadpic(){
      if( $_FILES['pic'] ){
     //执行上传操作
& e5 R7 t. [7 L* [) ]     $savePath =  $this->_getSaveTempPath();
     $filename = md5( time().'teste' ).'.'.substr($_FILES['pic']['name'],strpos($_FILES['pic']['name'],'.')+1);
    if(@copy($_FILES['pic']['tmp_name'], $savePath.'/'.$filename) || @move_uploaded_file($_FILES['pic']['tmp_name'], $savePath.'/'.$filename))
       {
        $result['boolen']    = 1;
  k5 \- z, y; Q5 u        $result['type_data'] = 'temp/'.$filename;
        $result['picurl']    = SITE_PATH.'/uploads/temp/'.$filename;
1 J2 M, U: K0 M2 U       } else {
( p- |5 _) t7 Q9 u        $result['boolen']    = 0;
        $result['message']   = '上传失败';
/ x& B% I& V) [       }
: V( b& J' {6 n7 z/ `     }else{
* j0 c7 P0 V7 k& \# x         $result['boolen']    = 0;
/ I# V, N  O2 g0 v' U" h         $result['message']   = '上传失败';
6 u1 j+ z2 ?6 b2 M( H     }
+ {# ]3 ~+ b: r/ D/ V1 `/ areturn $result;
    }
unloadpic()方法没有对文件类型进行验证
& Q7 `( V$ i7 E8 j5 i0 d) }' Q# m
可以构建表单, 选择任意文件, 提交到
& [) S3 T1 {* K! y/index.php?app=w3g&mod=Index&act=doPost

在新提交的微博上可以找到上传的文件地址(去掉small_、middle_ 前缀)


3 v. `* C, B# D! c( o3 B5 q在登录thinksns官方微博后,
构建以下表单:

4 A; F# h' e  W- j<form action="http://t.thinksns.com/index.php?app=w3g&mod=Index&act=doPost" method="post" enctype="multipart/form-data" />
5 F8 ^& u8 ?, i5 ?<textarea name="content">test</textarea>
file: <input id="file" type="file" name="pic" />
) C5 l6 P: o! I+ G<input type="submit" value="Post" />
9 a7 E* \, W$ o% _4 Y7 b! r</form>
去掉缩略图的前缀(small_ )
​修复方案：
8 q  F! M/ J3 ^
/ V" F8 Z3 a- H% m4 k/ R
\api\StatusesApi.class.php

function uploadpic(){
     /**
4 J9 }5 O" ~$ Y1 g0 r      * 20121018 @yelo
: L) J& N9 v( |/ I8 m2 A1 Y      * 增加上传类型验证
      */
) S' Z) i$ l$ Y# y3 y( ^     $pathinfo = pathinfo($_FILES['pic']['name']);
     $ext = $pathinfo['extension'];
8 o' {5 W4 e+ ]1 O $allowExts = array('jpg', 'png', 'gif', 'jpeg');
+ U: A* ~" G+ H1 `
0 ]5 Q: ~  S! f& W& ]$ {5 I     $uploadCondition = $_FILES['pic'] && in_array(strtolower($ext),$allowExts,true);
. r6 O& r) I+ r& }, e5 x. ~; f* p* O/ [
9 N: X  S5 G# Q  l8 e" K     if( $uploadCondition ){
     //执行上传操作
9 [/ s; H2 h$ c( ~/ {8 `     $savePath =  $this->_getSaveTempPath();
     $filename = md5( time().'teste' ).'.'.substr($_FILES['pic']['name'],strpos($_FILES['pic']['name'],'.')+1);
) J+ r" F- L0 X" k    if(@copy($_FILES['pic']['tmp_name'], $savePath.'/'.$filename) || @move_uploaded_file($_FILES['pic']['tmp_name'], $savePath.'/'.$filename))
       {
/ N9 D8 _2 V% m* d        $result['boolen']    = 1;
# d$ }* e" C  u8 ?7 K  Y        $result['type_data'] = 'temp/'.$filename;
; Q# {5 U9 B2 w2 {3 r        $result['picurl']    = SITE_PATH.'/uploads/temp/'.$filename;
       } else {
        $result['boolen']    = 0;
* N! j0 D% v6 r        $result['message']   = '上传失败';
       }
     }else{
0 r2 g2 h* K6 }0 U1 G         $result['boolen']    = 0;
         $result['message']   = '上传失败';
     }
0 ~) ^; C3 h" D# u9 d8 A+ Z; S& Ereturn $result;
% _( O8 g3 ?  L/ d) a  [. T    }
2 u! u. Z& P( z​

! D8 \, ~! j3 V% }