ThinkSNS 2.8任意文件上传漏洞及修复

admin

  微博上传图片时只在前端进行验证, 服务器端没有进行安全过滤。
0 W+ |( S5 I+ `$ Y7 n& `. s
* A1 m! A9 t7 b1 J& D7 @
# z- D0 M9 g, r1 Y2 e' Z3 U/ u\api\StatusesApi.class.php
0 V* O4 F9 L" i. C; P
8 l% B* K* H4 D2 @0 p/ Vfunction uploadpic(){
      if( $_FILES['pic'] ){
3 T* Q$ I) v9 \     //执行上传操作
     $savePath =  $this->_getSaveTempPath();
     $filename = md5( time().'teste' ).'.'.substr($_FILES['pic']['name'],strpos($_FILES['pic']['name'],'.')+1);
    if(@copy($_FILES['pic']['tmp_name'], $savePath.'/'.$filename) || @move_uploaded_file($_FILES['pic']['tmp_name'], $savePath.'/'.$filename))
) d: z0 [/ w/ C! P: R" ~7 y& |% s) k       {
        $result['boolen']    = 1;
/ G% y1 C% ^6 i5 C0 I1 o6 n+ _. ~        $result['type_data'] = 'temp/'.$filename;
! U, p4 v; x3 T% }  C  {1 v, c        $result['picurl']    = SITE_PATH.'/uploads/temp/'.$filename;
' b" T3 S/ U9 ?' T6 x+ @       } else {
        $result['boolen']    = 0;
$ m5 M; V, M5 X" H5 ^. o% F- u        $result['message']   = '上传失败';
       }
     }else{
         $result['boolen']    = 0;
4 h+ K1 C3 E/ k9 B! n         $result['message']   = '上传失败';
     }
return $result;
5 [5 a, m5 o/ O+ g7 E    }
unloadpic()方法没有对文件类型进行验证

( n' d1 f# S! R9 N. A$ N$ }: N可以构建表单, 选择任意文件, 提交到
  h3 a1 H7 [$ W# w) r' Z3 m/index.php?app=w3g&mod=Index&act=doPost

在新提交的微博上可以找到上传的文件地址(去掉small_、middle_ 前缀)
6 z+ Z1 u" p" @) |

在登录thinksns官方微博后,
: Z! {# G+ B* K. A/ h* O构建以下表单:

<form action="http://t.thinksns.com/index.php?app=w3g&mod=Index&act=doPost" method="post" enctype="multipart/form-data" />
<textarea name="content">test</textarea>
7 ~, D' D+ ]! W# [% Hfile: <input id="file" type="file" name="pic" />
<input type="submit" value="Post" />
! p0 e+ p- s7 N: ^* b</form>
& T6 J( g1 n* S5 x/ A! |3 Z4 w去掉缩略图的前缀(small_ )
​修复方案：

0 S' [7 m( u: \+ d( Y
\api\StatusesApi.class.php

function uploadpic(){
1 t/ H8 x# P+ T: k  R, Z     /**
  o% i+ e* w# K; Y3 r% y      * 20121018 @yelo
! H0 ^* y$ O; {/ n/ D7 l9 O      * 增加上传类型验证
/ `  q3 F' T( F- ]* N      */
     $pathinfo = pathinfo($_FILES['pic']['name']);
, c- N6 B4 s' H$ E     $ext = $pathinfo['extension'];
& P6 ^* L8 i2 M $allowExts = array('jpg', 'png', 'gif', 'jpeg');
- i! E' ^7 k# A
     $uploadCondition = $_FILES['pic'] && in_array(strtolower($ext),$allowExts,true);

- r: d0 L0 g, f1 ~     if( $uploadCondition ){
     //执行上传操作
5 [, ^" i" z2 M; a     $savePath =  $this->_getSaveTempPath();
     $filename = md5( time().'teste' ).'.'.substr($_FILES['pic']['name'],strpos($_FILES['pic']['name'],'.')+1);
    if(@copy($_FILES['pic']['tmp_name'], $savePath.'/'.$filename) || @move_uploaded_file($_FILES['pic']['tmp_name'], $savePath.'/'.$filename))
! _# C8 H) B+ U9 f5 Z. x       {
        $result['boolen']    = 1;
& o0 R1 T! q+ s& k% ]        $result['type_data'] = 'temp/'.$filename;
        $result['picurl']    = SITE_PATH.'/uploads/temp/'.$filename;
  ~3 `, I. L, N       } else {
        $result['boolen']    = 0;
' `7 C. [7 C2 |, a2 X' s! i! S+ Q        $result['message']   = '上传失败';
' j; ^% d. D# H4 V       }
     }else{
; X+ [2 M8 k4 q7 D         $result['boolen']    = 0;
         $result['message']   = '上传失败';
     }
return $result;
    }
​
; U4 B1 v! [2 P3 V$ s
6 N6 R6 [) p1 ^' o