ThinkSNS 2.8任意文件上传漏洞及修复

admin

  微博上传图片时只在前端进行验证, 服务器端没有进行安全过滤。
# o1 n! `3 E* w8 |1 S$ g
# }5 d  c+ A9 g0 }* w9 i' C
9 l  \, V! I+ y\api\StatusesApi.class.php

& N% Y* J  A, l8 E* \function uploadpic(){
; q) c! p; h9 p; A0 |      if( $_FILES['pic'] ){
2 v3 y! s' `! I& o7 V     //执行上传操作
' L) Q; ^1 N# ^" j+ \* @2 i" s     $savePath =  $this->_getSaveTempPath();
8 |0 p2 W7 ~6 {  G; _0 s7 w/ R! O     $filename = md5( time().'teste' ).'.'.substr($_FILES['pic']['name'],strpos($_FILES['pic']['name'],'.')+1);
2 X  o# P3 L; ]- D5 {: D3 D4 m    if(@copy($_FILES['pic']['tmp_name'], $savePath.'/'.$filename) || @move_uploaded_file($_FILES['pic']['tmp_name'], $savePath.'/'.$filename))
       {
        $result['boolen']    = 1;
        $result['type_data'] = 'temp/'.$filename;
        $result['picurl']    = SITE_PATH.'/uploads/temp/'.$filename;
       } else {
        $result['boolen']    = 0;
        $result['message']   = '上传失败';
8 Q) s; \" I! X" F8 a       }
4 @/ U4 q( R& ~$ o* v+ j     }else{
         $result['boolen']    = 0;
8 _8 H; \1 v# T& O! N7 `, A         $result['message']   = '上传失败';
     }
9 L0 m; |/ C+ O2 v( Ireturn $result;
2 b" g2 f1 O$ J. v    }
& J6 c1 w# @: Z% W5 ?unloadpic()方法没有对文件类型进行验证

可以构建表单, 选择任意文件, 提交到
3 V2 L( k. p5 P- P: K/index.php?app=w3g&mod=Index&act=doPost
& K' Q. O5 n: G; c* m
. f: W1 A% L& M2 h: ~+ H9 I* u5 G2 W在新提交的微博上可以找到上传的文件地址(去掉small_、middle_ 前缀)


在登录thinksns官方微博后,
8 S3 C/ g4 M6 i& f. g4 h; [构建以下表单:

<form action="http://t.thinksns.com/index.php?app=w3g&mod=Index&act=doPost" method="post" enctype="multipart/form-data" />
<textarea name="content">test</textarea>
" b, Q+ b, M4 \* Ffile: <input id="file" type="file" name="pic" />
<input type="submit" value="Post" />
. x# H  S) I7 @* [0 X! _, G. J</form>
4 f& l4 M$ r' l1 X6 Y6 s去掉缩略图的前缀(small_ )
8 A2 K5 o# k. j1 [​修复方案：
# X! v, n9 Y: X% l$ v9 r
4 i+ ~$ f, K; z& @  M- n
. M" `8 `) [" K\api\StatusesApi.class.php

function uploadpic(){
     /**
      * 20121018 @yelo
      * 增加上传类型验证
      */
, g4 b+ _) P7 }1 m( \6 C* g$ k     $pathinfo = pathinfo($_FILES['pic']['name']);
! n# x' [; A: p  W- y1 J4 \     $ext = $pathinfo['extension'];
+ g/ P8 P. ^6 P% N' q $allowExts = array('jpg', 'png', 'gif', 'jpeg');

     $uploadCondition = $_FILES['pic'] && in_array(strtolower($ext),$allowExts,true);
2 r- V( O0 m$ b  x7 Y/ T
7 ?9 w8 i0 C+ b: r     if( $uploadCondition ){
     //执行上传操作
% s3 B. D7 S8 W3 o/ z6 z0 C8 y     $savePath =  $this->_getSaveTempPath();
     $filename = md5( time().'teste' ).'.'.substr($_FILES['pic']['name'],strpos($_FILES['pic']['name'],'.')+1);
    if(@copy($_FILES['pic']['tmp_name'], $savePath.'/'.$filename) || @move_uploaded_file($_FILES['pic']['tmp_name'], $savePath.'/'.$filename))
       {
. Y% X" l+ o; {' t0 _6 I8 d        $result['boolen']    = 1;
        $result['type_data'] = 'temp/'.$filename;
        $result['picurl']    = SITE_PATH.'/uploads/temp/'.$filename;
       } else {
        $result['boolen']    = 0;
, ?" N) q- N* d        $result['message']   = '上传失败';
       }
     }else{
         $result['boolen']    = 0;
         $result['message']   = '上传失败';
9 u' |* T5 a8 Q7 |0 x     }
return $result;
. T7 m- O$ p  |9 ]    }
0 P8 S7 ]/ j! N2 i, u, A9 S​

, N7 X: K  m) u" ~. \+ ]