ThinkSNS 2.8任意文件上传漏洞及修复

admin

  微博上传图片时只在前端进行验证, 服务器端没有进行安全过滤。


+ i2 O, k/ }3 `- d1 V\api\StatusesApi.class.php

. x- B8 h& r& ]  ofunction uploadpic(){
8 o* t' E' S2 D+ a; S      if( $_FILES['pic'] ){
     //执行上传操作
     $savePath =  $this->_getSaveTempPath();
& A. ^: X, i$ g; h$ s     $filename = md5( time().'teste' ).'.'.substr($_FILES['pic']['name'],strpos($_FILES['pic']['name'],'.')+1);
) m. B/ s& e, u; S. N7 b3 _5 o    if(@copy($_FILES['pic']['tmp_name'], $savePath.'/'.$filename) || @move_uploaded_file($_FILES['pic']['tmp_name'], $savePath.'/'.$filename))
       {
: ]* I/ k6 g7 Q" Q# \- p* X        $result['boolen']    = 1;
        $result['type_data'] = 'temp/'.$filename;
4 H# {% z) u5 k% p. E' |        $result['picurl']    = SITE_PATH.'/uploads/temp/'.$filename;
# P* @- V) S9 h- `1 F4 y0 _       } else {
        $result['boolen']    = 0;
1 ^7 Z! h" _, s$ l' N8 f! S# N        $result['message']   = '上传失败';
1 r( l* [& K; }; l) v- r- ^& ?       }
     }else{
# X# I1 X0 T( n5 g: t         $result['boolen']    = 0;
         $result['message']   = '上传失败';
     }
' E4 k  a* j4 l) F4 t+ yreturn $result;
' u0 N8 ~6 i% I* U" [: ~: |    }
& V- D; T, _/ i( j# bunloadpic()方法没有对文件类型进行验证
  h% M3 Z' l% l6 K# ^* d" c
3 ]* Y' U* d$ r+ y4 K可以构建表单, 选择任意文件, 提交到
/index.php?app=w3g&mod=Index&act=doPost
! N0 h" [( e" R1 P. t* c
在新提交的微博上可以找到上传的文件地址(去掉small_、middle_ 前缀)
8 E, U) A1 |  T0 m
! ?8 C: Z2 f& \4 e
  M& q+ I0 C% l7 X- i- k在登录thinksns官方微博后,
' X( ?, ^& |! n% H2 C* s构建以下表单:

<form action="http://t.thinksns.com/index.php?app=w3g&mod=Index&act=doPost" method="post" enctype="multipart/form-data" />
- t6 W; ?* }+ H; }2 n# p<textarea name="content">test</textarea>
file: <input id="file" type="file" name="pic" />
<input type="submit" value="Post" />
: N' m) g0 p3 |3 g& `5 R</form>
去掉缩略图的前缀(small_ )
​修复方案：

+ y; L( I; X2 r& L$ c$ u$ `
\api\StatusesApi.class.php
% a0 o2 X" _) ^
# C( H5 J; B8 }2 H8 \function uploadpic(){
. a; H+ z, P9 g' Z8 v+ A. X$ Z4 l9 M$ l     /**
- c1 g' s4 W1 `! z6 C8 x* U8 p      * 20121018 @yelo
6 g" q. C, |; y4 M      * 增加上传类型验证
      */
) W5 E; n6 u: B3 \. I     $pathinfo = pathinfo($_FILES['pic']['name']);
1 x& \5 y* c" C' h& t     $ext = $pathinfo['extension'];
$allowExts = array('jpg', 'png', 'gif', 'jpeg');

     $uploadCondition = $_FILES['pic'] && in_array(strtolower($ext),$allowExts,true);
8 y  D+ X; ^7 X4 A* Y$ V$ J
# a" {- d% Q7 M4 r     if( $uploadCondition ){
     //执行上传操作
7 I" J1 ?, e" v# H8 q: k- A     $savePath =  $this->_getSaveTempPath();
0 ?2 V4 {/ l( x3 f     $filename = md5( time().'teste' ).'.'.substr($_FILES['pic']['name'],strpos($_FILES['pic']['name'],'.')+1);
    if(@copy($_FILES['pic']['tmp_name'], $savePath.'/'.$filename) || @move_uploaded_file($_FILES['pic']['tmp_name'], $savePath.'/'.$filename))
# y  u% {7 @! D* J       {
        $result['boolen']    = 1;
        $result['type_data'] = 'temp/'.$filename;
        $result['picurl']    = SITE_PATH.'/uploads/temp/'.$filename;
' N7 T% t9 n& a2 t; F       } else {
        $result['boolen']    = 0;
/ T3 S3 H9 L6 _. }        $result['message']   = '上传失败';
" g: L3 M8 @! g% g       }
     }else{
         $result['boolen']    = 0;
4 ^% X! w% C1 C& C! j6 [% }' E2 Q         $result['message']   = '上传失败';
" `, F6 X5 N" W( B" O' o2 }     }
* t1 q2 \* ?; W2 a+ t  oreturn $result;
    }
​
% j! p: x; J6 p% {5 [/ W- f
5 e0 S1 j9 M: a4 X3 ~! F