ThinkSNS 2.8任意文件上传漏洞及修复

admin

  微博上传图片时只在前端进行验证, 服务器端没有进行安全过滤。
9 Y* Y2 I7 Y" I

\api\StatusesApi.class.php

, l6 j5 p' d! D/ jfunction uploadpic(){
      if( $_FILES['pic'] ){
0 ?* [: `: P) B1 y     //执行上传操作
6 R8 z+ D- q) B- K     $savePath =  $this->_getSaveTempPath();
     $filename = md5( time().'teste' ).'.'.substr($_FILES['pic']['name'],strpos($_FILES['pic']['name'],'.')+1);
( X- L& `# n3 G: E3 I    if(@copy($_FILES['pic']['tmp_name'], $savePath.'/'.$filename) || @move_uploaded_file($_FILES['pic']['tmp_name'], $savePath.'/'.$filename))
       {
        $result['boolen']    = 1;
        $result['type_data'] = 'temp/'.$filename;
+ P+ t! K1 h2 P4 V( s9 {        $result['picurl']    = SITE_PATH.'/uploads/temp/'.$filename;
       } else {
# g7 G6 s1 X6 ^. ^' ]7 l        $result['boolen']    = 0;
( E- G2 F5 B* Q9 S        $result['message']   = '上传失败';
       }
5 P! B- b$ H' j4 n/ R" ?. k     }else{
         $result['boolen']    = 0;
9 m0 w, N2 C/ g6 ^" l' \; y) n         $result['message']   = '上传失败';
     }
return $result;
+ o# j5 y. R% ^' W: R' @    }
- ^# i# F' u5 X9 Bunloadpic()方法没有对文件类型进行验证

可以构建表单, 选择任意文件, 提交到
/index.php?app=w3g&mod=Index&act=doPost
) j5 P" @3 {# i: h/ \: S( Y
' i+ r# E& t( }" ]4 Y' f' p6 X在新提交的微博上可以找到上传的文件地址(去掉small_、middle_ 前缀)

" t6 k; \5 H" [9 R2 G
8 C) a7 U  t* E$ \4 ?0 E在登录thinksns官方微博后,
构建以下表单:

<form action="http://t.thinksns.com/index.php?app=w3g&mod=Index&act=doPost" method="post" enctype="multipart/form-data" />
- F! U  I6 X" [* a" |$ Y<textarea name="content">test</textarea>
/ M' N( s7 [: S8 f- @' C7 r9 gfile: <input id="file" type="file" name="pic" />
* j1 l, o. Z+ C7 o: F9 V& G" _6 g2 G<input type="submit" value="Post" />
</form>
去掉缩略图的前缀(small_ )
0 s5 C  c* m- v' \' Z" M​修复方案：

8 w% Q. T5 Z* C$ U/ N: w( {
\api\StatusesApi.class.php

function uploadpic(){
: s9 M( p4 s7 I8 @( r; @     /**
      * 20121018 @yelo
      * 增加上传类型验证
      */
5 n7 m# E. L1 T/ `     $pathinfo = pathinfo($_FILES['pic']['name']);
     $ext = $pathinfo['extension'];
$allowExts = array('jpg', 'png', 'gif', 'jpeg');
0 q- o: q* ]* T7 h, R  `8 ?! z: ]
2 y  B- U4 a4 n% E1 _* Z1 D3 F     $uploadCondition = $_FILES['pic'] && in_array(strtolower($ext),$allowExts,true);
. z% _0 J7 I/ y) ?! D
     if( $uploadCondition ){
     //执行上传操作
4 t% H' _6 ~8 `/ l* E3 O; i6 A' R     $savePath =  $this->_getSaveTempPath();
) n% K+ Z+ e( C+ T0 e     $filename = md5( time().'teste' ).'.'.substr($_FILES['pic']['name'],strpos($_FILES['pic']['name'],'.')+1);
% j  B/ ]& _# V- T( O! d7 ]# A0 l% v6 v    if(@copy($_FILES['pic']['tmp_name'], $savePath.'/'.$filename) || @move_uploaded_file($_FILES['pic']['tmp_name'], $savePath.'/'.$filename))
4 V& F& ]1 P. `6 k& w! ~1 F4 v       {
        $result['boolen']    = 1;
        $result['type_data'] = 'temp/'.$filename;
        $result['picurl']    = SITE_PATH.'/uploads/temp/'.$filename;
       } else {
        $result['boolen']    = 0;
/ ]; M4 `& p2 E/ f" D        $result['message']   = '上传失败';
& P0 u) p- D& H       }
; |1 p4 h: J1 ^, C3 R3 q     }else{
  @6 b4 Z  L- y         $result['boolen']    = 0;
         $result['message']   = '上传失败';
; Q- Y: L4 ~5 N4 v     }
return $result;
    }
​