ThinkSNS 2.8任意文件上传漏洞及修复

admin

  微博上传图片时只在前端进行验证, 服务器端没有进行安全过滤。
3 f  A# G/ n9 v
2 z; ]  u0 G2 D' O: V
% L5 G* w1 `$ C' _* F/ x\api\StatusesApi.class.php

* H+ w7 K! M9 P4 c: y* bfunction uploadpic(){
9 e% r+ y. E2 P+ p  ]' x      if( $_FILES['pic'] ){
2 @5 f6 v" X* O6 w& U! _" Q3 @6 y     //执行上传操作
- X9 j8 k/ g2 H- t     $savePath =  $this->_getSaveTempPath();
     $filename = md5( time().'teste' ).'.'.substr($_FILES['pic']['name'],strpos($_FILES['pic']['name'],'.')+1);
    if(@copy($_FILES['pic']['tmp_name'], $savePath.'/'.$filename) || @move_uploaded_file($_FILES['pic']['tmp_name'], $savePath.'/'.$filename))
       {
        $result['boolen']    = 1;
        $result['type_data'] = 'temp/'.$filename;
        $result['picurl']    = SITE_PATH.'/uploads/temp/'.$filename;
       } else {
        $result['boolen']    = 0;
: O$ k0 s, V2 Q        $result['message']   = '上传失败';
       }
$ c9 s2 }" Q% G/ K& n+ U# ~2 `  I     }else{
$ r8 K  `3 c. b1 _! m         $result['boolen']    = 0;
         $result['message']   = '上传失败';
+ m8 Z5 ]% q* M" V& T% x     }
return $result;
. }0 P' J% K* w2 K! J    }
unloadpic()方法没有对文件类型进行验证
3 N$ x& \& g8 r3 q8 `, ~' E
0 B$ Q7 o0 V: B可以构建表单, 选择任意文件, 提交到
+ B5 h$ y& T- \1 d. y) Q4 B/index.php?app=w3g&mod=Index&act=doPost
8 G0 z; [! z3 m- Q& v. O& R
- z1 e& M" _3 m) ?2 ^在新提交的微博上可以找到上传的文件地址(去掉small_、middle_ 前缀)


& u* J7 v( m* y1 e6 q4 k在登录thinksns官方微博后,
$ q0 d) R3 `* n2 |; v构建以下表单:

<form action="http://t.thinksns.com/index.php?app=w3g&mod=Index&act=doPost" method="post" enctype="multipart/form-data" />
<textarea name="content">test</textarea>
file: <input id="file" type="file" name="pic" />
<input type="submit" value="Post" />
6 @* t/ L5 @; o- ~& W( E</form>
去掉缩略图的前缀(small_ )
& ?( c& p& Z4 c, P" k6 Q& L% {​修复方案：
) |  {: h( R; `) J  D2 B

\api\StatusesApi.class.php

function uploadpic(){
- ?2 [; \! U9 Q/ _# a* ]! s     /**
      * 20121018 @yelo
0 A" A* o/ w" I$ a2 Y" y      * 增加上传类型验证
      */
     $pathinfo = pathinfo($_FILES['pic']['name']);
     $ext = $pathinfo['extension'];
$allowExts = array('jpg', 'png', 'gif', 'jpeg');
3 M" c$ K! E7 h( @# c$ Z( B! a
3 @3 V1 |, F! Q     $uploadCondition = $_FILES['pic'] && in_array(strtolower($ext),$allowExts,true);
9 R% u! K3 I, Q& r& J8 x" a6 R
, u+ @$ R6 {& l( o9 F) G7 t. ]" @! N     if( $uploadCondition ){
( E/ s5 K- W) {1 D% E5 N     //执行上传操作
     $savePath =  $this->_getSaveTempPath();
     $filename = md5( time().'teste' ).'.'.substr($_FILES['pic']['name'],strpos($_FILES['pic']['name'],'.')+1);
    if(@copy($_FILES['pic']['tmp_name'], $savePath.'/'.$filename) || @move_uploaded_file($_FILES['pic']['tmp_name'], $savePath.'/'.$filename))
       {
. P( z) l; e0 [; |% Z0 b' V: T4 R% k; f. h        $result['boolen']    = 1;
        $result['type_data'] = 'temp/'.$filename;
        $result['picurl']    = SITE_PATH.'/uploads/temp/'.$filename;
       } else {
        $result['boolen']    = 0;
3 T0 h- F) J4 _+ F+ L  @        $result['message']   = '上传失败';
$ b& Y- ?4 Z6 f' t' b       }
; g: Q2 G. k" I- _9 v( M4 m( G" l% T$ d     }else{
: L+ }+ ]9 J7 Q# \: W) E0 f( }) ?         $result['boolen']    = 0;
         $result['message']   = '上传失败';
- f0 X& P$ ]6 V' G; F3 R2 L     }
return $result;
! S6 ?0 z1 x. b; J! P    }
4 c  {4 n4 m  k! t# Q4 G4 [, E​
5 ?2 y+ J  ?3 L- Z7 t, Q( P