ThinkSNS 2.8任意文件上传漏洞及修复

admin

  微博上传图片时只在前端进行验证, 服务器端没有进行安全过滤。


\api\StatusesApi.class.php
8 O+ L6 x3 ?5 U+ x. }+ v
function uploadpic(){
      if( $_FILES['pic'] ){
     //执行上传操作
     $savePath =  $this->_getSaveTempPath();
     $filename = md5( time().'teste' ).'.'.substr($_FILES['pic']['name'],strpos($_FILES['pic']['name'],'.')+1);
    if(@copy($_FILES['pic']['tmp_name'], $savePath.'/'.$filename) || @move_uploaded_file($_FILES['pic']['tmp_name'], $savePath.'/'.$filename))
       {
2 n, }3 a* M, P9 x2 w" W        $result['boolen']    = 1;
        $result['type_data'] = 'temp/'.$filename;
        $result['picurl']    = SITE_PATH.'/uploads/temp/'.$filename;
. r0 w" O' L$ v) \. j% e" b       } else {
8 ]- W0 U% ]9 k9 T9 `        $result['boolen']    = 0;
        $result['message']   = '上传失败';
4 j# w" m# e  b: \       }
     }else{
         $result['boolen']    = 0;
         $result['message']   = '上传失败';
     }
return $result;
9 u: [5 r1 D+ b/ D5 A, }    }
) u2 S: ]" c) S& H/ Q* Uunloadpic()方法没有对文件类型进行验证
. f5 T5 Z$ Q6 y4 \
8 C4 T. P3 H$ R" c/ ?7 |' F( r可以构建表单, 选择任意文件, 提交到
. {/ n0 j1 ?5 Z' ~1 Z' i) k5 g' X/index.php?app=w3g&mod=Index&act=doPost

# C- ?3 c6 \7 C: }3 f在新提交的微博上可以找到上传的文件地址(去掉small_、middle_ 前缀)
" i6 Q! C1 }* g" t2 s: I* J2 I

3 ~+ t! Q6 u) ^3 y% C在登录thinksns官方微博后,
构建以下表单:

# ], [$ B6 ^; @7 ^; B<form action="http://t.thinksns.com/index.php?app=w3g&mod=Index&act=doPost" method="post" enctype="multipart/form-data" />
<textarea name="content">test</textarea>
' i+ j: x6 h5 N- o5 r" kfile: <input id="file" type="file" name="pic" />
<input type="submit" value="Post" />
8 Y  f7 S3 F- F+ p7 p3 n! p</form>
去掉缩略图的前缀(small_ )
5 O3 j) _7 r6 `# O( f8 l& N3 c* _9 s# i& K​修复方案：
: E0 L  J; B9 x) m" L7 q& P9 q

+ G  Y2 b  x1 R. o5 E\api\StatusesApi.class.php
9 s/ h$ t7 h, I. _3 p
function uploadpic(){
! |- v9 o4 H. |/ o     /**
      * 20121018 @yelo
      * 增加上传类型验证
1 H( b: Q3 x. \, g; G6 `      */
     $pathinfo = pathinfo($_FILES['pic']['name']);
     $ext = $pathinfo['extension'];
$allowExts = array('jpg', 'png', 'gif', 'jpeg');
3 k/ G/ V5 G6 Q! z( X
" g" D" Q% I) ~' O7 p# _2 u     $uploadCondition = $_FILES['pic'] && in_array(strtolower($ext),$allowExts,true);

7 v) y! v2 d1 I7 ^% Z! M     if( $uploadCondition ){
0 c7 S5 N5 y) B5 ?8 i. c     //执行上传操作
     $savePath =  $this->_getSaveTempPath();
     $filename = md5( time().'teste' ).'.'.substr($_FILES['pic']['name'],strpos($_FILES['pic']['name'],'.')+1);
    if(@copy($_FILES['pic']['tmp_name'], $savePath.'/'.$filename) || @move_uploaded_file($_FILES['pic']['tmp_name'], $savePath.'/'.$filename))
7 m* a$ ^# i6 m  t3 M/ ?  X1 `( ?/ v9 c       {
0 u" d0 l" |& D/ W4 n) G        $result['boolen']    = 1;
0 O. \: u# P4 o0 T5 F0 C4 }- R        $result['type_data'] = 'temp/'.$filename;
        $result['picurl']    = SITE_PATH.'/uploads/temp/'.$filename;
       } else {
        $result['boolen']    = 0;
% V. X  a. B. {2 k# T+ f3 h        $result['message']   = '上传失败';
       }
% y* Q) P1 \  l7 p9 x     }else{
         $result['boolen']    = 0;
         $result['message']   = '上传失败';
     }
6 H  ^8 K9 N1 ^5 K1 E7 }return $result;
, F0 e5 O. D5 j( T: o0 S; h# v6 A    }
/ C* W, `7 s1 k$ A: E4 [​
, _  H* E7 b0 C) K( a: u( x/ O% P  g; `4 M