ThinkSNS 2.8任意文件上传漏洞及修复

admin

  微博上传图片时只在前端进行验证, 服务器端没有进行安全过滤。


\api\StatusesApi.class.php
' _9 n) }* N( o% y9 i2 ~/ n  p4 f
3 a) m! ]% e0 f7 l7 o% p9 [7 e) Vfunction uploadpic(){
+ N: l4 }: k& m+ P* A      if( $_FILES['pic'] ){
     //执行上传操作
     $savePath =  $this->_getSaveTempPath();
     $filename = md5( time().'teste' ).'.'.substr($_FILES['pic']['name'],strpos($_FILES['pic']['name'],'.')+1);
- s- y+ o8 j! L/ S- I1 c    if(@copy($_FILES['pic']['tmp_name'], $savePath.'/'.$filename) || @move_uploaded_file($_FILES['pic']['tmp_name'], $savePath.'/'.$filename))
       {
8 S$ Q4 u9 Y& t8 d3 Z1 C0 m        $result['boolen']    = 1;
        $result['type_data'] = 'temp/'.$filename;
- t4 s! d0 {% W, u' N' v- M        $result['picurl']    = SITE_PATH.'/uploads/temp/'.$filename;
& ]5 {8 ]  s' m+ q& C       } else {
- ~7 h! [; H: N( q' N) Y        $result['boolen']    = 0;
) A" l" r9 `4 G. G# Q5 n4 v& i        $result['message']   = '上传失败';
       }
) x: ?: Z# C) |# e, I& z' @: e" V     }else{
! }9 K8 ]/ W3 ]  u         $result['boolen']    = 0;
         $result['message']   = '上传失败';
0 P# X4 Q3 a* p9 |' A     }
$ `9 o+ ?# T) \3 [return $result;
! a; M! q1 S5 @) p5 o" o    }
* {( o6 B$ A( O7 z2 m8 m7 B& zunloadpic()方法没有对文件类型进行验证
' X7 E0 f2 R5 H
可以构建表单, 选择任意文件, 提交到
2 [' V! p$ _5 O) }. o. K. D" H0 N/index.php?app=w3g&mod=Index&act=doPost
1 r; \9 _# [; ]" W- M; T8 H& f. C% S" a, {
在新提交的微博上可以找到上传的文件地址(去掉small_、middle_ 前缀)
7 `9 c* n4 r, L* f% t$ a! w

在登录thinksns官方微博后,
构建以下表单:

  W4 t* W3 e9 }<form action="http://t.thinksns.com/index.php?app=w3g&mod=Index&act=doPost" method="post" enctype="multipart/form-data" />
<textarea name="content">test</textarea>
8 _: V" G7 [$ d. b6 Y, `1 hfile: <input id="file" type="file" name="pic" />
<input type="submit" value="Post" />
) o7 |, R# h/ b+ J' R  s2 i$ I</form>
去掉缩略图的前缀(small_ )
: z6 o; r: l) t, A+ ]' i​修复方案：

9 @8 v" F. I: ^% \# ~
\api\StatusesApi.class.php

6 N8 k" A; f3 n6 z" T7 }0 Efunction uploadpic(){
     /**
      * 20121018 @yelo
      * 增加上传类型验证
" S8 _* {. c2 b8 X% A9 m; }      */
& b  O6 T) G8 U/ }     $pathinfo = pathinfo($_FILES['pic']['name']);
5 ~! r& \/ _6 P" ^  |# l     $ext = $pathinfo['extension'];
0 Y. N: J+ a7 }9 U6 B, [+ m $allowExts = array('jpg', 'png', 'gif', 'jpeg');
0 H4 m/ U" t5 K/ f9 W) ]+ X! c7 g
1 O6 F. D6 p6 l: Z8 `     $uploadCondition = $_FILES['pic'] && in_array(strtolower($ext),$allowExts,true);

7 ~, o" ^7 U3 u; Q" c/ O3 v     if( $uploadCondition ){
     //执行上传操作
- C, D; K& m# [/ y7 q  Q     $savePath =  $this->_getSaveTempPath();
/ X+ x; H0 t$ A     $filename = md5( time().'teste' ).'.'.substr($_FILES['pic']['name'],strpos($_FILES['pic']['name'],'.')+1);
1 g& a. P6 e" S5 w) |$ f    if(@copy($_FILES['pic']['tmp_name'], $savePath.'/'.$filename) || @move_uploaded_file($_FILES['pic']['tmp_name'], $savePath.'/'.$filename))
8 g6 n! \( R6 t; {* t+ E       {
        $result['boolen']    = 1;
        $result['type_data'] = 'temp/'.$filename;
# I6 z& N% y2 r0 h* Q: |! M        $result['picurl']    = SITE_PATH.'/uploads/temp/'.$filename;
       } else {
) I" O$ G# x' b- Q; s        $result['boolen']    = 0;
, C1 z$ ?* r2 d- H0 P( O        $result['message']   = '上传失败';
       }
0 i5 H- r  J& F2 `2 i# v5 W' V     }else{
         $result['boolen']    = 0;
         $result['message']   = '上传失败';
     }
% @: V+ K- z! i" F* r, Wreturn $result;
    }
​

2 ~' c3 p, }7 b* E5 }