ThinkSNS 2.8任意文件上传漏洞及修复

admin

  微博上传图片时只在前端进行验证, 服务器端没有进行安全过滤。

- o  i2 q* L! v% I9 c
\api\StatusesApi.class.php

$ K7 P+ p" k# R6 D. Vfunction uploadpic(){
* ]2 u0 b+ \; g& ?$ S) K6 C      if( $_FILES['pic'] ){
     //执行上传操作
     $savePath =  $this->_getSaveTempPath();
     $filename = md5( time().'teste' ).'.'.substr($_FILES['pic']['name'],strpos($_FILES['pic']['name'],'.')+1);
. z( @" d& E; R: ]# V4 a    if(@copy($_FILES['pic']['tmp_name'], $savePath.'/'.$filename) || @move_uploaded_file($_FILES['pic']['tmp_name'], $savePath.'/'.$filename))
       {
  y2 W5 H5 n: C& \) P        $result['boolen']    = 1;
& B) }/ a9 a, m3 V        $result['type_data'] = 'temp/'.$filename;
! p8 Y1 L  t1 p2 G! k6 M        $result['picurl']    = SITE_PATH.'/uploads/temp/'.$filename;
8 X$ m! V; e. O4 F5 }       } else {
        $result['boolen']    = 0;
  e* w( J# w. W# C4 K        $result['message']   = '上传失败';
       }
" ?/ X" s" V0 F     }else{
         $result['boolen']    = 0;
         $result['message']   = '上传失败';
; F# F5 g' K. n9 J* I     }
0 R% I2 V/ p" j- u. T( u! E" B9 Kreturn $result;
    }
$ s. F3 F* m. P. U1 aunloadpic()方法没有对文件类型进行验证

可以构建表单, 选择任意文件, 提交到
/index.php?app=w3g&mod=Index&act=doPost
0 x9 g8 z* R) A/ H* {0 o, R6 X
' p+ x% P7 F( D在新提交的微博上可以找到上传的文件地址(去掉small_、middle_ 前缀)
0 I5 o. D7 h2 ]+ }2 i) ]

在登录thinksns官方微博后,
$ y7 g$ h% W* Y. o; j, J) c# o构建以下表单:

<form action="http://t.thinksns.com/index.php?app=w3g&mod=Index&act=doPost" method="post" enctype="multipart/form-data" />
<textarea name="content">test</textarea>
5 g: r' E) N% ?* j5 |file: <input id="file" type="file" name="pic" />
" u/ i2 Q6 w7 g  w; t<input type="submit" value="Post" />
</form>
/ R' ?$ O$ x7 Y  J# `去掉缩略图的前缀(small_ )
7 r- X! f, G, K& X3 ^​修复方案：
& _4 P) a7 ^1 R! ^

\api\StatusesApi.class.php

3 r+ D# V& d$ F) l" Ofunction uploadpic(){
     /**
! C) u) _9 y, N& q, N5 [9 r      * 20121018 @yelo
      * 增加上传类型验证
      */
     $pathinfo = pathinfo($_FILES['pic']['name']);
" H0 s5 a2 j# k9 @) }1 j2 P6 p     $ext = $pathinfo['extension'];
( u3 v0 X* @, u4 p* W; Y $allowExts = array('jpg', 'png', 'gif', 'jpeg');
7 }9 l2 s2 @: F+ @1 p
  d5 _0 o4 J, I     $uploadCondition = $_FILES['pic'] && in_array(strtolower($ext),$allowExts,true);

; S* Y1 j! f& b% S     if( $uploadCondition ){
- }* X" r) ^* h# n7 x- W     //执行上传操作
7 R/ i9 I( n: b6 P2 r" G  Z0 F     $savePath =  $this->_getSaveTempPath();
     $filename = md5( time().'teste' ).'.'.substr($_FILES['pic']['name'],strpos($_FILES['pic']['name'],'.')+1);
8 F# ?/ |. A+ }  Y    if(@copy($_FILES['pic']['tmp_name'], $savePath.'/'.$filename) || @move_uploaded_file($_FILES['pic']['tmp_name'], $savePath.'/'.$filename))
* M7 O: U7 \: O+ w5 w       {
        $result['boolen']    = 1;
        $result['type_data'] = 'temp/'.$filename;
3 Z! k! m3 [/ n' d% t7 J3 A        $result['picurl']    = SITE_PATH.'/uploads/temp/'.$filename;
  Q/ _! d- s3 c. R. Y: u4 i# W       } else {
        $result['boolen']    = 0;
  D: G1 |' C  X+ C9 H        $result['message']   = '上传失败';
       }
     }else{
5 r6 k. y$ x1 q         $result['boolen']    = 0;
         $result['message']   = '上传失败';
; ~' P( `) q8 a) g# m     }
9 x0 |9 e% H/ `0 U6 \" y2 h# M1 L% Hreturn $result;
    }
​

7 ?$ P' @& E$ e. z