ThinkSNS 2.8任意文件上传漏洞及修复

admin

  微博上传图片时只在前端进行验证, 服务器端没有进行安全过滤。


\api\StatusesApi.class.php
# Q# d/ k7 o8 y6 @8 D
function uploadpic(){
      if( $_FILES['pic'] ){
     //执行上传操作
! U6 X. X7 q. U% `' j7 K8 z     $savePath =  $this->_getSaveTempPath();
+ t0 e$ w5 \, n2 \     $filename = md5( time().'teste' ).'.'.substr($_FILES['pic']['name'],strpos($_FILES['pic']['name'],'.')+1);
. z/ q! L: I6 F& h    if(@copy($_FILES['pic']['tmp_name'], $savePath.'/'.$filename) || @move_uploaded_file($_FILES['pic']['tmp_name'], $savePath.'/'.$filename))
       {
        $result['boolen']    = 1;
        $result['type_data'] = 'temp/'.$filename;
        $result['picurl']    = SITE_PATH.'/uploads/temp/'.$filename;
; ]  g! E# k& x  Y6 z* G       } else {
        $result['boolen']    = 0;
        $result['message']   = '上传失败';
- @* [/ N2 z. Y1 }       }
     }else{
         $result['boolen']    = 0;
: f$ e! @& ]5 s8 P( I         $result['message']   = '上传失败';
     }
return $result;
, ?3 B* W' d' a2 L, |$ t' V8 k6 Z; M    }
unloadpic()方法没有对文件类型进行验证

可以构建表单, 选择任意文件, 提交到
/index.php?app=w3g&mod=Index&act=doPost
+ u( c' I) f7 R5 i' Q
( L& o5 j8 U6 p) R* ]1 E- e% F+ t在新提交的微博上可以找到上传的文件地址(去掉small_、middle_ 前缀)

$ {1 c0 s0 ]1 K, D/ R
/ u( B" e- y, d' f0 s在登录thinksns官方微博后,
$ `3 E4 O, C$ a5 L构建以下表单:

" }' D, x$ R9 }7 f8 Y- w<form action="http://t.thinksns.com/index.php?app=w3g&mod=Index&act=doPost" method="post" enctype="multipart/form-data" />
0 k' L9 C4 Y4 C4 u% p+ Z% V# i6 P<textarea name="content">test</textarea>
file: <input id="file" type="file" name="pic" />
<input type="submit" value="Post" />
</form>
8 W: I" n1 g; E: x  |$ G0 q去掉缩略图的前缀(small_ )
8 C$ ?' ?0 r) E( d​修复方案：
, S" S+ \' V3 K: W5 l* V

\api\StatusesApi.class.php
1 z) ^/ E5 J! ~/ E; k  y
function uploadpic(){
     /**
+ `1 s& k: `4 l- m; }% f      * 20121018 @yelo
      * 增加上传类型验证
: w+ W1 Y) A7 E8 A" u, |/ {. m4 l" |+ B      */
     $pathinfo = pathinfo($_FILES['pic']['name']);
: m! m8 P% L- e3 D2 G     $ext = $pathinfo['extension'];
$allowExts = array('jpg', 'png', 'gif', 'jpeg');

9 p" o: @$ i0 Y     $uploadCondition = $_FILES['pic'] && in_array(strtolower($ext),$allowExts,true);

3 m; d; w" F. X$ s. u# e  w. F     if( $uploadCondition ){
     //执行上传操作
- V3 C8 [" Y' L- ?  Y     $savePath =  $this->_getSaveTempPath();
     $filename = md5( time().'teste' ).'.'.substr($_FILES['pic']['name'],strpos($_FILES['pic']['name'],'.')+1);
! s: M6 N& _. K/ x: Z; r$ K8 x! o    if(@copy($_FILES['pic']['tmp_name'], $savePath.'/'.$filename) || @move_uploaded_file($_FILES['pic']['tmp_name'], $savePath.'/'.$filename))
' v: {' {1 u! |" s$ x1 d, K+ u       {
        $result['boolen']    = 1;
        $result['type_data'] = 'temp/'.$filename;
        $result['picurl']    = SITE_PATH.'/uploads/temp/'.$filename;
       } else {
        $result['boolen']    = 0;
        $result['message']   = '上传失败';
       }
- W7 F. m/ r$ J% y* e     }else{
" U( U+ t* M2 v) W' u( k         $result['boolen']    = 0;
         $result['message']   = '上传失败';
     }
2 w" a; Q; S% p  B/ }4 nreturn $result;
  W  M0 ]. C8 Y) g& V* H$ V1 _! l    }
; S& t! ]: T) ^; p! y) l* r​
5 f0 @  O) B- k0 ~+ m& m