ThinkSNS 2.8任意文件上传漏洞及修复

admin

  微博上传图片时只在前端进行验证, 服务器端没有进行安全过滤。
& a/ C" V4 W! T0 C7 ^" X* _0 Q
' M& x, t3 O2 a3 s
\api\StatusesApi.class.php

7 ]5 }" C" ^. r) m- y* t+ D& }" S6 ?function uploadpic(){
: @- Q0 Q5 e: P( O" _$ t      if( $_FILES['pic'] ){
     //执行上传操作
     $savePath =  $this->_getSaveTempPath();
     $filename = md5( time().'teste' ).'.'.substr($_FILES['pic']['name'],strpos($_FILES['pic']['name'],'.')+1);
: [) h9 m! o  M" e0 J    if(@copy($_FILES['pic']['tmp_name'], $savePath.'/'.$filename) || @move_uploaded_file($_FILES['pic']['tmp_name'], $savePath.'/'.$filename))
! o3 f3 y' ^4 R9 q       {
        $result['boolen']    = 1;
% p* V# [# x. i2 t0 {" E        $result['type_data'] = 'temp/'.$filename;
3 v; x4 \; I0 @) n5 @9 h        $result['picurl']    = SITE_PATH.'/uploads/temp/'.$filename;
       } else {
        $result['boolen']    = 0;
* f. _+ |  P3 g+ M- x; ?) [; w$ }        $result['message']   = '上传失败';
       }
, p. W5 D6 x" |5 j# P% \- a     }else{
         $result['boolen']    = 0;
         $result['message']   = '上传失败';
     }
, B3 H" r3 M% p7 L  X4 g, Treturn $result;
( W8 F; q. \7 {9 s/ j# W    }
unloadpic()方法没有对文件类型进行验证

. K! S3 n5 }/ J$ ?; o( W% \可以构建表单, 选择任意文件, 提交到
. [( a! g* K: Z8 N( }5 P( C/index.php?app=w3g&mod=Index&act=doPost

, R1 v# x' F3 K. |& E) [6 f在新提交的微博上可以找到上传的文件地址(去掉small_、middle_ 前缀)
3 D; s# N9 I" k( j9 z
4 Z: e& M' ]3 d. ~! r" v' w3 f
在登录thinksns官方微博后,
构建以下表单:
8 A" _6 y; P$ |/ J
; J0 _% z8 f0 h9 j) M( C) ]) @<form action="http://t.thinksns.com/index.php?app=w3g&mod=Index&act=doPost" method="post" enctype="multipart/form-data" />
<textarea name="content">test</textarea>
7 i; [' ~, m# \& w. f  L' l; Bfile: <input id="file" type="file" name="pic" />
<input type="submit" value="Post" />
" V" G7 C! E2 e$ ]% }</form>
去掉缩略图的前缀(small_ )
+ m( T/ M* `" g) G9 [) x9 k' x; _$ `​修复方案：


\api\StatusesApi.class.php
" e2 P/ J8 q+ q7 l$ t  q
function uploadpic(){
     /**
) n7 [# H8 G5 P0 s      * 20121018 @yelo
      * 增加上传类型验证
5 V1 u& w2 r; ?5 K+ `: J      */
     $pathinfo = pathinfo($_FILES['pic']['name']);
0 r" T, [9 h0 X. d1 V! r     $ext = $pathinfo['extension'];
  V1 z% S* {, { $allowExts = array('jpg', 'png', 'gif', 'jpeg');
- M# h. L  u& X7 E9 K
     $uploadCondition = $_FILES['pic'] && in_array(strtolower($ext),$allowExts,true);

1 |2 j' j. Z, N, x     if( $uploadCondition ){
     //执行上传操作
     $savePath =  $this->_getSaveTempPath();
     $filename = md5( time().'teste' ).'.'.substr($_FILES['pic']['name'],strpos($_FILES['pic']['name'],'.')+1);
8 {9 p' s! o* r' G, L    if(@copy($_FILES['pic']['tmp_name'], $savePath.'/'.$filename) || @move_uploaded_file($_FILES['pic']['tmp_name'], $savePath.'/'.$filename))
! y2 T  n0 G  K+ K       {
+ S( T- K2 N. Z. o7 j) a+ C4 l        $result['boolen']    = 1;
0 R; y9 s6 O& t( l; o/ p7 N        $result['type_data'] = 'temp/'.$filename;
) m" ?2 x) p3 @* ]% _        $result['picurl']    = SITE_PATH.'/uploads/temp/'.$filename;
       } else {
+ ]' e% ~: z- I" `" I* v        $result['boolen']    = 0;
7 _* b  G- K, o2 [. u        $result['message']   = '上传失败';
. N5 T% \1 |4 [+ }, e5 {3 L( j       }
     }else{
         $result['boolen']    = 0;
         $result['message']   = '上传失败';
     }
9 e/ Q9 i' d# y. Breturn $result;
    }
​