ThinkSNS 2.8任意文件上传漏洞及修复

admin

  微博上传图片时只在前端进行验证, 服务器端没有进行安全过滤。
$ B3 T( G/ ?' r9 c
0 M0 ^0 y. h6 c" g3 v: P1 C! K
\api\StatusesApi.class.php

6 \/ v9 L$ a' ]9 I+ h) ~/ ofunction uploadpic(){
/ ?2 U  m4 W( \( d% M# j      if( $_FILES['pic'] ){
     //执行上传操作
/ G5 _/ Z" Z6 J  T, d- e! P     $savePath =  $this->_getSaveTempPath();
, V, p+ L8 j) v9 d6 j/ j     $filename = md5( time().'teste' ).'.'.substr($_FILES['pic']['name'],strpos($_FILES['pic']['name'],'.')+1);
    if(@copy($_FILES['pic']['tmp_name'], $savePath.'/'.$filename) || @move_uploaded_file($_FILES['pic']['tmp_name'], $savePath.'/'.$filename))
       {
+ B' v" C* i( e1 X        $result['boolen']    = 1;
        $result['type_data'] = 'temp/'.$filename;
: z2 X& u8 j2 U- O7 r        $result['picurl']    = SITE_PATH.'/uploads/temp/'.$filename;
0 }! W9 e6 o* A9 |6 `& w, }& M9 b       } else {
        $result['boolen']    = 0;
        $result['message']   = '上传失败';
. w! p+ _! ]) Y  N7 @8 M       }
     }else{
         $result['boolen']    = 0;
         $result['message']   = '上传失败';
, U/ y& E/ _  ]; }/ H     }
return $result;
. `) T" H$ `4 J. F/ R    }
9 I. @/ X- W$ Yunloadpic()方法没有对文件类型进行验证

可以构建表单, 选择任意文件, 提交到
/index.php?app=w3g&mod=Index&act=doPost

在新提交的微博上可以找到上传的文件地址(去掉small_、middle_ 前缀)


在登录thinksns官方微博后,
构建以下表单:
3 V9 b) _" ~$ ?# O6 s% E# i. ~
<form action="http://t.thinksns.com/index.php?app=w3g&mod=Index&act=doPost" method="post" enctype="multipart/form-data" />
<textarea name="content">test</textarea>
file: <input id="file" type="file" name="pic" />
  w+ K1 T6 F! c& R<input type="submit" value="Post" />
</form>
去掉缩略图的前缀(small_ )
+ Y( p, U: ~" P, Y7 g​修复方案：
! t6 K; F/ k- S* X

4 |7 r' O" d9 K* Y\api\StatusesApi.class.php
: i9 F4 N; a: G2 _( R, ~
function uploadpic(){
1 K* f5 W  W7 ~3 F1 \$ \$ [     /**
      * 20121018 @yelo
      * 增加上传类型验证
+ S! ^1 I2 T5 D% w" n# g      */
* u5 b, b. ^% b) ^8 x7 ~3 n     $pathinfo = pathinfo($_FILES['pic']['name']);
# I0 h+ _+ F! @% E+ U' B0 j4 A& n! y     $ext = $pathinfo['extension'];
! \! n0 |$ `; u4 `) o6 v, N/ c $allowExts = array('jpg', 'png', 'gif', 'jpeg');

: t% O  Q( x/ B/ u9 h     $uploadCondition = $_FILES['pic'] && in_array(strtolower($ext),$allowExts,true);

     if( $uploadCondition ){
     //执行上传操作
* L: f  t% V  D) m$ W2 y     $savePath =  $this->_getSaveTempPath();
3 Q1 V" k; _/ x; Q2 J* [' x     $filename = md5( time().'teste' ).'.'.substr($_FILES['pic']['name'],strpos($_FILES['pic']['name'],'.')+1);
- c* M4 u9 K4 F5 n. M- S. M0 e5 _* Z0 t    if(@copy($_FILES['pic']['tmp_name'], $savePath.'/'.$filename) || @move_uploaded_file($_FILES['pic']['tmp_name'], $savePath.'/'.$filename))
, E1 y. G3 _8 B, g, K       {
, q0 G% e1 x9 R6 l& Y: h. k        $result['boolen']    = 1;
. C0 i& ]/ E6 k" p! }% f        $result['type_data'] = 'temp/'.$filename;
  }/ o2 E; y% S! G3 S- R5 z        $result['picurl']    = SITE_PATH.'/uploads/temp/'.$filename;
* I- K) l& x: b& F, }/ q& M       } else {
/ {/ A0 R. A! y' m        $result['boolen']    = 0;
        $result['message']   = '上传失败';
( Y7 g/ ]$ j) H- @       }
1 N- u8 x$ t0 }" Y  A+ m- L: r1 e     }else{
( \8 }4 l+ T' l# H. \! }         $result['boolen']    = 0;
         $result['message']   = '上传失败';
( b" M  U2 c( |     }
return $result;
    }
! {/ l: t4 H) H​