ThinkSNS 2.8任意文件上传漏洞及修复

admin

  微博上传图片时只在前端进行验证, 服务器端没有进行安全过滤。
7 q% [# Q; k3 s8 e0 ~2 W; M' |: Y
- i; J# F" ?+ z
\api\StatusesApi.class.php

  ]( e( k) q2 c( u( c& y! rfunction uploadpic(){
      if( $_FILES['pic'] ){
     //执行上传操作
     $savePath =  $this->_getSaveTempPath();
     $filename = md5( time().'teste' ).'.'.substr($_FILES['pic']['name'],strpos($_FILES['pic']['name'],'.')+1);
    if(@copy($_FILES['pic']['tmp_name'], $savePath.'/'.$filename) || @move_uploaded_file($_FILES['pic']['tmp_name'], $savePath.'/'.$filename))
' g7 s2 _( D1 M/ F8 \; q+ F       {
        $result['boolen']    = 1;
        $result['type_data'] = 'temp/'.$filename;
  E  w1 ^! O% o' H& y  i        $result['picurl']    = SITE_PATH.'/uploads/temp/'.$filename;
- u% k3 `% [" t' V  ^       } else {
        $result['boolen']    = 0;
9 l& a/ G% n3 n: L# k        $result['message']   = '上传失败';
$ e/ o% {3 ~6 H  }" {! q1 Z: j' I2 E       }
     }else{
         $result['boolen']    = 0;
         $result['message']   = '上传失败';
4 F' |5 v2 u( V3 G# Z     }
return $result;
    }
unloadpic()方法没有对文件类型进行验证

0 u, m/ O3 Q# C  a" ?( C可以构建表单, 选择任意文件, 提交到
, U) y$ ]7 v8 n6 D8 j/ Y& [/index.php?app=w3g&mod=Index&act=doPost

在新提交的微博上可以找到上传的文件地址(去掉small_、middle_ 前缀)
+ j5 N- W1 k* o9 ~; j7 L
5 f( _1 P- m( [2 |
3 b) _+ g6 B5 W% p# n在登录thinksns官方微博后,
构建以下表单:
7 I6 s. C+ Z) m3 l7 O9 q4 u  O
. S2 \( v, w* P; X<form action="http://t.thinksns.com/index.php?app=w3g&mod=Index&act=doPost" method="post" enctype="multipart/form-data" />
* X+ H0 a* R/ l1 x( U9 e<textarea name="content">test</textarea>
1 f% x0 j1 p( d: {, Vfile: <input id="file" type="file" name="pic" />
+ R4 ~1 ~8 C; L$ U' D% {! a<input type="submit" value="Post" />
& a5 V( ?; I  F5 j8 L$ P</form>
( P# V: p1 X! R! G去掉缩略图的前缀(small_ )
  g, E. f& g1 F) m& Y# h) L- H: W​修复方案：
" b7 M2 b; @7 w! `  L
" I3 q+ N* }( a" X" M
5 M9 J& ^$ g% g\api\StatusesApi.class.php

% m  T* f) u* Q5 A, U2 i  X) Ffunction uploadpic(){
5 ?+ D' x2 D( O; ?4 L     /**
      * 20121018 @yelo
      * 增加上传类型验证
% @" [9 x  u% L. g. C4 _      */
' g  T! q' `9 D" [9 z4 ^2 W     $pathinfo = pathinfo($_FILES['pic']['name']);
# L3 Y5 Y$ X: L$ r     $ext = $pathinfo['extension'];
$allowExts = array('jpg', 'png', 'gif', 'jpeg');

     $uploadCondition = $_FILES['pic'] && in_array(strtolower($ext),$allowExts,true);

     if( $uploadCondition ){
$ f  R" H% A6 u" M/ `     //执行上传操作
     $savePath =  $this->_getSaveTempPath();
     $filename = md5( time().'teste' ).'.'.substr($_FILES['pic']['name'],strpos($_FILES['pic']['name'],'.')+1);
    if(@copy($_FILES['pic']['tmp_name'], $savePath.'/'.$filename) || @move_uploaded_file($_FILES['pic']['tmp_name'], $savePath.'/'.$filename))
       {
        $result['boolen']    = 1;
        $result['type_data'] = 'temp/'.$filename;
4 u; p& ?3 E; ]  @" Q2 g4 P        $result['picurl']    = SITE_PATH.'/uploads/temp/'.$filename;
       } else {
& W# M4 V4 ]2 S- f- L9 ^9 l        $result['boolen']    = 0;
) c+ y' N* `2 m( w9 _        $result['message']   = '上传失败';
       }
' ?9 }* j$ _2 ]) ~1 c9 Z# O; a, h4 H: n7 P     }else{
         $result['boolen']    = 0;
$ z* V' ]9 g% ?$ |         $result['message']   = '上传失败';
     }
. ~6 o+ b  k( T0 X( m3 o! }return $result;
/ s5 w4 Q+ o* q& @% }  f    }
​