ThinkSNS 2.8任意文件上传漏洞及修复

admin

  微博上传图片时只在前端进行验证, 服务器端没有进行安全过滤。


" C0 m  A! ~# Y. n\api\StatusesApi.class.php
. I* Z7 U- y* R
function uploadpic(){
& o; N2 s- Q/ w8 j      if( $_FILES['pic'] ){
     //执行上传操作
     $savePath =  $this->_getSaveTempPath();
  d# e# ^3 F, q7 D9 |- S     $filename = md5( time().'teste' ).'.'.substr($_FILES['pic']['name'],strpos($_FILES['pic']['name'],'.')+1);
3 @) a% v# c$ K( j3 f& G4 k    if(@copy($_FILES['pic']['tmp_name'], $savePath.'/'.$filename) || @move_uploaded_file($_FILES['pic']['tmp_name'], $savePath.'/'.$filename))
       {
6 u+ W2 }/ A) F; p, h2 @        $result['boolen']    = 1;
        $result['type_data'] = 'temp/'.$filename;
        $result['picurl']    = SITE_PATH.'/uploads/temp/'.$filename;
       } else {
        $result['boolen']    = 0;
        $result['message']   = '上传失败';
/ ]8 Q) P4 }5 o5 J% X       }
% m: j2 U! I+ Q     }else{
% ^6 t8 }3 d# O, c         $result['boolen']    = 0;
         $result['message']   = '上传失败';
     }
return $result;
    }
7 P9 c8 m% N* q5 C! o; S! E' {unloadpic()方法没有对文件类型进行验证

- a& k4 F: t" F! v; h+ m7 G6 F可以构建表单, 选择任意文件, 提交到
/index.php?app=w3g&mod=Index&act=doPost

在新提交的微博上可以找到上传的文件地址(去掉small_、middle_ 前缀)
! R; J7 N4 n+ E& x

在登录thinksns官方微博后,
+ r* w* s( ?: q0 |9 _构建以下表单:

<form action="http://t.thinksns.com/index.php?app=w3g&mod=Index&act=doPost" method="post" enctype="multipart/form-data" />
: a. {6 Y/ g  G/ L4 n* q<textarea name="content">test</textarea>
# z' a7 e( Z( @  H7 E  E6 gfile: <input id="file" type="file" name="pic" />
( n* X7 S5 Q1 T) Q<input type="submit" value="Post" />
# ~7 H5 b1 }3 W3 q</form>
$ J' _+ w! c6 j去掉缩略图的前缀(small_ )
​修复方案：
) o+ u, ]+ t9 q: o' {
3 j$ M9 b3 h( ~/ A) G3 M! n
\api\StatusesApi.class.php
3 u3 b  J" Z, |1 }  h  M$ d) }: [2 \, Y
function uploadpic(){
     /**
      * 20121018 @yelo
) j, J" n; D* F      * 增加上传类型验证
      */
     $pathinfo = pathinfo($_FILES['pic']['name']);
! |% G2 R4 c- z     $ext = $pathinfo['extension'];
2 f- R0 o* b  y. l1 S $allowExts = array('jpg', 'png', 'gif', 'jpeg');

     $uploadCondition = $_FILES['pic'] && in_array(strtolower($ext),$allowExts,true);
. k7 n; W$ ~( J# V8 ^' d0 K( n
' y3 n6 g: y. M" L4 @2 J8 v     if( $uploadCondition ){
     //执行上传操作
     $savePath =  $this->_getSaveTempPath();
& I/ g" [9 W1 Y! H, \     $filename = md5( time().'teste' ).'.'.substr($_FILES['pic']['name'],strpos($_FILES['pic']['name'],'.')+1);
# N! `" t) L/ o! J9 Z9 F0 C    if(@copy($_FILES['pic']['tmp_name'], $savePath.'/'.$filename) || @move_uploaded_file($_FILES['pic']['tmp_name'], $savePath.'/'.$filename))
( u% z9 {/ L# c) N, a" L       {
        $result['boolen']    = 1;
        $result['type_data'] = 'temp/'.$filename;
        $result['picurl']    = SITE_PATH.'/uploads/temp/'.$filename;
; L8 L+ Q- L+ ?$ g9 A9 Q- Q       } else {
! [& d+ S0 |8 d+ r        $result['boolen']    = 0;
/ H2 H% p" @* @( B9 Y( ^2 X/ L        $result['message']   = '上传失败';
6 s# B  T) H* G  V1 E8 _4 N       }
# d( ~2 V/ b; S8 k     }else{
         $result['boolen']    = 0;
1 P3 u! r! t$ |/ B+ R5 Y# m# g         $result['message']   = '上传失败';
     }
7 ?. \4 S+ N/ M; nreturn $result;
# ?8 J9 b/ p5 i    }
% V' l. c0 O" p5 x+ U! m0 ?​

% a& u. y+ Q4 D" K7 F8 ~8 [