ThinkSNS 2.8任意文件上传漏洞及修复

admin

  微博上传图片时只在前端进行验证, 服务器端没有进行安全过滤。
0 r2 @8 t; j/ o1 D( B+ d7 Q

" a8 f8 `2 a- @2 Q\api\StatusesApi.class.php
2 \; s* V" i2 q2 E
function uploadpic(){
      if( $_FILES['pic'] ){
     //执行上传操作
) {: q3 O5 W% H2 S7 t     $savePath =  $this->_getSaveTempPath();
     $filename = md5( time().'teste' ).'.'.substr($_FILES['pic']['name'],strpos($_FILES['pic']['name'],'.')+1);
    if(@copy($_FILES['pic']['tmp_name'], $savePath.'/'.$filename) || @move_uploaded_file($_FILES['pic']['tmp_name'], $savePath.'/'.$filename))
/ |8 o3 D0 S" X       {
        $result['boolen']    = 1;
        $result['type_data'] = 'temp/'.$filename;
" Q8 V1 v; p* y* i- Q        $result['picurl']    = SITE_PATH.'/uploads/temp/'.$filename;
4 q2 o" T, K( ~6 H       } else {
/ ^% t' {8 b; H- t        $result['boolen']    = 0;
4 \7 v6 L6 V- m; o        $result['message']   = '上传失败';
       }
     }else{
2 _7 J& A; n+ h         $result['boolen']    = 0;
. Z& [9 m( b7 ~( m/ ]4 T# e) F4 m/ t         $result['message']   = '上传失败';
/ d. X5 o& ?4 B8 T     }
' n0 V" H3 J( Q; xreturn $result;
    }
unloadpic()方法没有对文件类型进行验证
: q6 o; U4 T& T$ q: m
可以构建表单, 选择任意文件, 提交到
/index.php?app=w3g&mod=Index&act=doPost
9 B6 g' A5 l7 e  h& \2 D
4 G/ ?$ l+ s0 w* U# Q在新提交的微博上可以找到上传的文件地址(去掉small_、middle_ 前缀)
8 H9 e$ z7 u7 h7 H* k/ C# y
% p7 K; |& J1 Q$ _" ?, Q, c  M5 G" |
在登录thinksns官方微博后,
构建以下表单:
' c" y) g6 p; I* U3 T8 L# B, l
" y8 G, ]8 A0 ~! t+ f8 X+ k<form action="http://t.thinksns.com/index.php?app=w3g&mod=Index&act=doPost" method="post" enctype="multipart/form-data" />
<textarea name="content">test</textarea>
file: <input id="file" type="file" name="pic" />
2 _( S) r3 Z- v' s% u# u3 `<input type="submit" value="Post" />
</form>
去掉缩略图的前缀(small_ )
​修复方案：
  a8 D- c! V' b, q: S

: o+ o5 W& o- |8 m6 T& ]9 ?\api\StatusesApi.class.php

2 I; ^+ |4 Q3 p% p# bfunction uploadpic(){
0 H8 _" a/ [" Y, C     /**
9 o) o7 C+ n7 H; L8 g2 C- n7 U      * 20121018 @yelo
' R8 q1 P( Q% X" C" C* B4 P      * 增加上传类型验证
      */
     $pathinfo = pathinfo($_FILES['pic']['name']);
  i) D7 t. u* s+ W! c% Z9 ?     $ext = $pathinfo['extension'];
: f1 v- Y8 A! r  Y1 t1 R $allowExts = array('jpg', 'png', 'gif', 'jpeg');

     $uploadCondition = $_FILES['pic'] && in_array(strtolower($ext),$allowExts,true);

     if( $uploadCondition ){
     //执行上传操作
     $savePath =  $this->_getSaveTempPath();
     $filename = md5( time().'teste' ).'.'.substr($_FILES['pic']['name'],strpos($_FILES['pic']['name'],'.')+1);
% H5 a( h2 q8 M* Z4 ^. p4 F    if(@copy($_FILES['pic']['tmp_name'], $savePath.'/'.$filename) || @move_uploaded_file($_FILES['pic']['tmp_name'], $savePath.'/'.$filename))
       {
0 a7 d, B- d% L; y2 R4 F        $result['boolen']    = 1;
        $result['type_data'] = 'temp/'.$filename;
        $result['picurl']    = SITE_PATH.'/uploads/temp/'.$filename;
* ]0 H9 E% f- I1 ?       } else {
2 p! O+ r7 l- T' S3 w5 `        $result['boolen']    = 0;
7 \( ?- F. f0 K        $result['message']   = '上传失败';
+ e$ s. J% F6 I! B2 m  R% w+ }       }
     }else{
* n5 x' v3 f5 D  x         $result['boolen']    = 0;
         $result['message']   = '上传失败';
- b. s# n* J# j1 _. L! y     }
8 c9 o6 B6 k* E2 ~return $result;
: M& ^- W% z  v& l6 \    }
​

# }4 ?) k" ]5 S% P+ t. h