ThinkSNS 2.8任意文件上传漏洞及修复

admin

  微博上传图片时只在前端进行验证, 服务器端没有进行安全过滤。

# M# C" P( E* H- ]' Y
\api\StatusesApi.class.php
* x5 I! X/ a% d1 N3 U0 Q/ \* ~% F+ m
# I. V! ^! b2 o  g: Y1 S- Z; C/ Wfunction uploadpic(){
5 M& ?$ [4 ?, c: j      if( $_FILES['pic'] ){
4 b" P8 V) I/ r/ r- F6 o/ P     //执行上传操作
     $savePath =  $this->_getSaveTempPath();
     $filename = md5( time().'teste' ).'.'.substr($_FILES['pic']['name'],strpos($_FILES['pic']['name'],'.')+1);
    if(@copy($_FILES['pic']['tmp_name'], $savePath.'/'.$filename) || @move_uploaded_file($_FILES['pic']['tmp_name'], $savePath.'/'.$filename))
0 E, w9 W, `6 R% p( ]' b0 L       {
        $result['boolen']    = 1;
& v* n. `: ?7 g, r" Y) K/ q' n        $result['type_data'] = 'temp/'.$filename;
        $result['picurl']    = SITE_PATH.'/uploads/temp/'.$filename;
% e# f, a' `2 }5 ]9 r" s1 [       } else {
( I6 Y) I" \, w- k; ]) ~        $result['boolen']    = 0;
        $result['message']   = '上传失败';
       }
7 b* E) a8 v7 M  O     }else{
/ \1 f2 o5 x  u0 J/ w/ z4 j         $result['boolen']    = 0;
8 `; |( z: i7 u: e5 B         $result['message']   = '上传失败';
     }
2 [) v  G1 [7 v4 ]8 lreturn $result;
    }
unloadpic()方法没有对文件类型进行验证

可以构建表单, 选择任意文件, 提交到
/index.php?app=w3g&mod=Index&act=doPost
$ C5 d7 Q5 A1 H7 {- G1 Y) ^( C
( W6 d( V& e; R+ y在新提交的微博上可以找到上传的文件地址(去掉small_、middle_ 前缀)


在登录thinksns官方微博后,
构建以下表单:

<form action="http://t.thinksns.com/index.php?app=w3g&mod=Index&act=doPost" method="post" enctype="multipart/form-data" />
" z! Q! I; L5 r& q<textarea name="content">test</textarea>
) Q: e% E; D& ?0 a' g! Vfile: <input id="file" type="file" name="pic" />
<input type="submit" value="Post" />
1 d+ M% Y. D3 W0 n: r* w</form>
7 G( ~, }) e% z$ T0 R' e$ Z去掉缩略图的前缀(small_ )
+ R) W0 @1 }! }2 _- O3 I​修复方案：


0 C7 q/ M0 k; x9 S0 t. j+ k\api\StatusesApi.class.php
, u9 L4 T7 P7 Q4 q4 F
- ~/ T' S( d$ d" B' k, P8 l, a4 e9 ffunction uploadpic(){
     /**
      * 20121018 @yelo
      * 增加上传类型验证
- Z. ^  E3 S" K+ t1 H/ t( _+ I1 ]      */
1 g( N7 |/ D3 W% D     $pathinfo = pathinfo($_FILES['pic']['name']);
     $ext = $pathinfo['extension'];
2 r: A- u' q$ L. k $allowExts = array('jpg', 'png', 'gif', 'jpeg');
* l" w! H  `2 ^( f* {
+ H1 k& |! C+ O4 ?1 ?3 B4 p( s     $uploadCondition = $_FILES['pic'] && in_array(strtolower($ext),$allowExts,true);
4 q2 }- q% c1 z- s: l% |2 o
     if( $uploadCondition ){
     //执行上传操作
7 J, u+ ^; n0 e/ ^* E+ q     $savePath =  $this->_getSaveTempPath();
7 ^5 ^9 |& ^" g     $filename = md5( time().'teste' ).'.'.substr($_FILES['pic']['name'],strpos($_FILES['pic']['name'],'.')+1);
8 @0 J: Q# `( `- t" s    if(@copy($_FILES['pic']['tmp_name'], $savePath.'/'.$filename) || @move_uploaded_file($_FILES['pic']['tmp_name'], $savePath.'/'.$filename))
       {
3 F- T+ _- U( k4 ]9 I4 N/ o3 H        $result['boolen']    = 1;
; {9 c9 c5 h4 A+ s' z- [        $result['type_data'] = 'temp/'.$filename;
# S6 T  `& I% V& X8 t; s1 X! V( k        $result['picurl']    = SITE_PATH.'/uploads/temp/'.$filename;
& x+ u3 h8 x4 U! Q, d8 ^! F3 o       } else {
        $result['boolen']    = 0;
+ K  O9 N. b; o) Y/ }        $result['message']   = '上传失败';
4 {# R# M, E- M0 o, |+ b3 l       }
+ R/ O; F- @. M! ?: ~     }else{
+ V$ E$ q3 E1 d) `2 P- d" C+ O         $result['boolen']    = 0;
         $result['message']   = '上传失败';
     }
return $result;
    }
​

7 s6 A+ o; u) W2 D% @( h7 \1 @