ThinkSNS 2.8任意文件上传漏洞及修复

admin

  微博上传图片时只在前端进行验证, 服务器端没有进行安全过滤。


\api\StatusesApi.class.php
1 x; p& |; H" B$ Q4 A7 \8 S
function uploadpic(){
      if( $_FILES['pic'] ){
     //执行上传操作
( `" j7 `' z- J     $savePath =  $this->_getSaveTempPath();
     $filename = md5( time().'teste' ).'.'.substr($_FILES['pic']['name'],strpos($_FILES['pic']['name'],'.')+1);
    if(@copy($_FILES['pic']['tmp_name'], $savePath.'/'.$filename) || @move_uploaded_file($_FILES['pic']['tmp_name'], $savePath.'/'.$filename))
/ @2 D3 V* _% I2 N% f       {
        $result['boolen']    = 1;
: J+ A0 D6 ?' P8 K) Z. F        $result['type_data'] = 'temp/'.$filename;
% c; l) A0 b* ^9 }        $result['picurl']    = SITE_PATH.'/uploads/temp/'.$filename;
7 s& ~4 Y1 A% V       } else {
. W- b; ~/ X- P1 Y        $result['boolen']    = 0;
6 [- b( t& `* f# ^0 e5 j% W3 T$ R        $result['message']   = '上传失败';
       }
% f1 s# M" G. Q" Y* n- T, o     }else{
         $result['boolen']    = 0;
         $result['message']   = '上传失败';
1 y+ p' G+ @, l" ~/ J2 `  W8 z     }
6 o. c6 C( B4 Vreturn $result;
    }
unloadpic()方法没有对文件类型进行验证

+ Y7 d3 m/ D  N5 h! H可以构建表单, 选择任意文件, 提交到
; o* r  q! y! e2 p/index.php?app=w3g&mod=Index&act=doPost

在新提交的微博上可以找到上传的文件地址(去掉small_、middle_ 前缀)

0 L+ M) i! y) h/ P$ E/ @) [% }
, v  t. S! w) f7 K( }1 T! c在登录thinksns官方微博后,
! T' U! n$ z/ [0 B2 T6 m/ [构建以下表单:

<form action="http://t.thinksns.com/index.php?app=w3g&mod=Index&act=doPost" method="post" enctype="multipart/form-data" />
<textarea name="content">test</textarea>
5 B# P0 k9 V1 H, U* pfile: <input id="file" type="file" name="pic" />
<input type="submit" value="Post" />
% z: g2 E& L4 z/ v4 p" Q7 t7 U</form>
去掉缩略图的前缀(small_ )
​修复方案：
! h. P  P% ]) f8 z1 M
. P4 R  `9 o: b! ]
\api\StatusesApi.class.php

! H% P% Y6 L* n! Afunction uploadpic(){
/ a3 L& \2 t, C' b8 a( y2 }  a     /**
% Q* E% u* X2 z. `. q      * 20121018 @yelo
3 ^& `# [5 w$ y. K! `. a' \1 A      * 增加上传类型验证
      */
. D1 j( W  H) Y0 r     $pathinfo = pathinfo($_FILES['pic']['name']);
     $ext = $pathinfo['extension'];
$allowExts = array('jpg', 'png', 'gif', 'jpeg');
5 G2 ]8 }4 E" L. ]& o& @+ Z/ R
     $uploadCondition = $_FILES['pic'] && in_array(strtolower($ext),$allowExts,true);

; A& |% H! ^  e. T& f     if( $uploadCondition ){
6 d% ^2 H2 n9 }0 s- H$ E  H     //执行上传操作
     $savePath =  $this->_getSaveTempPath();
     $filename = md5( time().'teste' ).'.'.substr($_FILES['pic']['name'],strpos($_FILES['pic']['name'],'.')+1);
    if(@copy($_FILES['pic']['tmp_name'], $savePath.'/'.$filename) || @move_uploaded_file($_FILES['pic']['tmp_name'], $savePath.'/'.$filename))
" V! ^9 K- Z( W  k+ C8 @" A       {
2 d: ]% O' y/ V) L4 o        $result['boolen']    = 1;
        $result['type_data'] = 'temp/'.$filename;
* y$ E& {1 W5 k3 l; E        $result['picurl']    = SITE_PATH.'/uploads/temp/'.$filename;
       } else {
( s- X. N, Q1 w% A2 U% o- ]        $result['boolen']    = 0;
# q7 L: [- p! f0 p" ]        $result['message']   = '上传失败';
9 h3 B8 _$ @) j# u/ p7 p       }
7 Y: X8 Z# @5 Q' c1 a/ `4 N7 b1 Z     }else{
         $result['boolen']    = 0;
         $result['message']   = '上传失败';
" I) A& C3 R. X4 |     }
2 S, N: t1 [7 _( ~% n7 Greturn $result;
    }
8 v; ~6 w# @. b  u* d  G5 c! Z& n​

2 N: s& @' X" v