ThinkSNS 2.8任意文件上传漏洞及修复

admin

  微博上传图片时只在前端进行验证, 服务器端没有进行安全过滤。
3 B* f# u) g* ~/ G
# L1 M$ X9 I( n
\api\StatusesApi.class.php
) j4 W$ B3 {+ N5 B$ ^
function uploadpic(){
      if( $_FILES['pic'] ){
     //执行上传操作
     $savePath =  $this->_getSaveTempPath();
4 U1 r- p  B: [* A+ ~+ H* S     $filename = md5( time().'teste' ).'.'.substr($_FILES['pic']['name'],strpos($_FILES['pic']['name'],'.')+1);
. e  Y  K! i0 c    if(@copy($_FILES['pic']['tmp_name'], $savePath.'/'.$filename) || @move_uploaded_file($_FILES['pic']['tmp_name'], $savePath.'/'.$filename))
       {
9 G% q7 J- M; g4 t- q        $result['boolen']    = 1;
        $result['type_data'] = 'temp/'.$filename;
* e; V  G* o' m) s& R, q. M+ ^- b        $result['picurl']    = SITE_PATH.'/uploads/temp/'.$filename;
       } else {
        $result['boolen']    = 0;
        $result['message']   = '上传失败';
       }
3 }7 Y9 h; W* D! K     }else{
         $result['boolen']    = 0;
         $result['message']   = '上传失败';
     }
return $result;
    }
$ n' m5 R& `: ]; \( Z* `; aunloadpic()方法没有对文件类型进行验证
/ ^& Y6 ~( O" D9 d
# T  M- h1 \1 k" C4 g7 c) U6 C可以构建表单, 选择任意文件, 提交到
/index.php?app=w3g&mod=Index&act=doPost

* A( }' r' L$ ~. J在新提交的微博上可以找到上传的文件地址(去掉small_、middle_ 前缀)

, ~6 V! n% p; N" I/ N
在登录thinksns官方微博后,
构建以下表单:

<form action="http://t.thinksns.com/index.php?app=w3g&mod=Index&act=doPost" method="post" enctype="multipart/form-data" />
6 ~: n1 Z+ H9 s( Z# r9 _) x' ^' S<textarea name="content">test</textarea>
1 Z1 d! o) @+ c0 s6 `/ E3 bfile: <input id="file" type="file" name="pic" />
$ H2 k$ G* J2 K% [( M<input type="submit" value="Post" />
</form>
$ b7 T! B5 _* H# U- ~! ~) o去掉缩略图的前缀(small_ )
2 Q% X, p7 q- ^3 r​修复方案：

. O8 `, V5 w0 |
\api\StatusesApi.class.php
/ d( b- d. W5 ]
* A( Q8 |! m) R; u0 M" y8 H! Afunction uploadpic(){
" U& R' V7 o" [0 Z; H( W6 o7 ^     /**
      * 20121018 @yelo
      * 增加上传类型验证
( Z, L. m9 K1 L4 W6 W' t5 n      */
     $pathinfo = pathinfo($_FILES['pic']['name']);
& I0 ]) s' O" b4 R" B     $ext = $pathinfo['extension'];
$allowExts = array('jpg', 'png', 'gif', 'jpeg');

     $uploadCondition = $_FILES['pic'] && in_array(strtolower($ext),$allowExts,true);
9 v+ q  i+ [( \) j# e+ J( z
8 q, I$ z" N3 p8 z  J9 Q     if( $uploadCondition ){
     //执行上传操作
9 i8 _& }; [, w) N7 {+ \     $savePath =  $this->_getSaveTempPath();
5 {* n# |1 G3 w* e3 V; c* G: \     $filename = md5( time().'teste' ).'.'.substr($_FILES['pic']['name'],strpos($_FILES['pic']['name'],'.')+1);
    if(@copy($_FILES['pic']['tmp_name'], $savePath.'/'.$filename) || @move_uploaded_file($_FILES['pic']['tmp_name'], $savePath.'/'.$filename))
       {
        $result['boolen']    = 1;
" H: v' z2 Q! F9 Y9 Y) }        $result['type_data'] = 'temp/'.$filename;
8 T5 V; l1 U6 b0 r6 r( w; {5 w        $result['picurl']    = SITE_PATH.'/uploads/temp/'.$filename;
       } else {
7 m' r/ \+ D8 ]' ?! l; l        $result['boolen']    = 0;
- h) l3 ?8 ]  N* A        $result['message']   = '上传失败';
       }
     }else{
         $result['boolen']    = 0;
         $result['message']   = '上传失败';
     }
+ T9 x7 R% g! o+ Greturn $result;
' T' m6 d+ N. m) m4 Y4 [    }
​
6 H; \8 @6 \: P9 n; ?$ e
5 b$ w- {  {8 p3 s5 O