ThinkSNS 2.8任意文件上传漏洞及修复

admin

  微博上传图片时只在前端进行验证, 服务器端没有进行安全过滤。

8 w( O/ m2 K( h4 p# s
$ W1 _6 A) C4 k3 I6 t: R$ X# B\api\StatusesApi.class.php

function uploadpic(){
      if( $_FILES['pic'] ){
0 U$ \$ l; A7 t: H* ]     //执行上传操作
     $savePath =  $this->_getSaveTempPath();
     $filename = md5( time().'teste' ).'.'.substr($_FILES['pic']['name'],strpos($_FILES['pic']['name'],'.')+1);
    if(@copy($_FILES['pic']['tmp_name'], $savePath.'/'.$filename) || @move_uploaded_file($_FILES['pic']['tmp_name'], $savePath.'/'.$filename))
& @3 q, P8 ~. f- F: i' J. s, U       {
0 b! W! D$ X1 W( S0 h7 f, d. c        $result['boolen']    = 1;
        $result['type_data'] = 'temp/'.$filename;
        $result['picurl']    = SITE_PATH.'/uploads/temp/'.$filename;
2 w* k1 H. x" b( H6 Z/ _       } else {
        $result['boolen']    = 0;
        $result['message']   = '上传失败';
       }
% X1 |7 d% I" ?0 K( U- r) M/ P     }else{
6 y- A6 ^& n) Z6 I3 L         $result['boolen']    = 0;
         $result['message']   = '上传失败';
  H. h0 n2 ]4 ]1 _     }
return $result;
- M, Z3 U# z' Z& u  b, @    }
unloadpic()方法没有对文件类型进行验证
2 x* K1 N" e7 [( a( }/ n
可以构建表单, 选择任意文件, 提交到
2 d& b$ Z/ g" W/index.php?app=w3g&mod=Index&act=doPost

3 l2 c  S% b1 j在新提交的微博上可以找到上传的文件地址(去掉small_、middle_ 前缀)
0 B4 |! S+ Y" A& e# \+ H+ Q
5 E2 `4 a9 B6 p- w
+ x+ K% S3 G- ?1 _! Q3 ]在登录thinksns官方微博后,
构建以下表单:

<form action="http://t.thinksns.com/index.php?app=w3g&mod=Index&act=doPost" method="post" enctype="multipart/form-data" />
# A, k5 u" v2 S8 q' `  g9 G<textarea name="content">test</textarea>
file: <input id="file" type="file" name="pic" />
<input type="submit" value="Post" />
</form>
去掉缩略图的前缀(small_ )
) \3 B& ]4 ]1 c- C4 ?) ]# ]​修复方案：

" u* n( k  o* C4 e! X3 {+ t" Q
\api\StatusesApi.class.php

function uploadpic(){
     /**
1 U+ G) p, N3 W3 f      * 20121018 @yelo
      * 增加上传类型验证
      */
     $pathinfo = pathinfo($_FILES['pic']['name']);
     $ext = $pathinfo['extension'];
$allowExts = array('jpg', 'png', 'gif', 'jpeg');

     $uploadCondition = $_FILES['pic'] && in_array(strtolower($ext),$allowExts,true);

     if( $uploadCondition ){
( ~1 f+ B3 P! p4 W- n3 V- [5 q+ w     //执行上传操作
     $savePath =  $this->_getSaveTempPath();
0 {6 r: I5 u7 g" S0 ]# I     $filename = md5( time().'teste' ).'.'.substr($_FILES['pic']['name'],strpos($_FILES['pic']['name'],'.')+1);
! A7 @( I5 v1 X, _. R    if(@copy($_FILES['pic']['tmp_name'], $savePath.'/'.$filename) || @move_uploaded_file($_FILES['pic']['tmp_name'], $savePath.'/'.$filename))
, i) r, @( ?) r2 p       {
  d1 }0 k' O3 }0 ^1 {: D        $result['boolen']    = 1;
9 Y2 v9 B- l+ \        $result['type_data'] = 'temp/'.$filename;
        $result['picurl']    = SITE_PATH.'/uploads/temp/'.$filename;
" v6 _/ P5 `9 Y* t( ^. P5 k1 p. M       } else {
        $result['boolen']    = 0;
! k3 k0 h4 ?1 ]+ F4 z9 q/ C: F! z        $result['message']   = '上传失败';
, t9 S: q1 h" F  G& R       }
     }else{
' j: v0 S3 _" Y, R7 M$ {         $result['boolen']    = 0;
         $result['message']   = '上传失败';
     }
return $result;
    }
  N( ~* H) J6 M3 T4 r2 k​