ThinkSNS 2.8任意文件上传漏洞及修复

admin

  微博上传图片时只在前端进行验证, 服务器端没有进行安全过滤。

  W! t! A, h+ O* a+ M
: W* x$ {) O% `\api\StatusesApi.class.php
9 b8 A# S( V2 E
2 E$ M! g' e: Z7 N4 cfunction uploadpic(){
+ G; `, z. v+ b) U4 [      if( $_FILES['pic'] ){
     //执行上传操作
: q4 o' x/ `! \6 @. w$ h" b  ?9 S     $savePath =  $this->_getSaveTempPath();
. e4 T6 I/ Y( y8 J     $filename = md5( time().'teste' ).'.'.substr($_FILES['pic']['name'],strpos($_FILES['pic']['name'],'.')+1);
    if(@copy($_FILES['pic']['tmp_name'], $savePath.'/'.$filename) || @move_uploaded_file($_FILES['pic']['tmp_name'], $savePath.'/'.$filename))
       {
3 A! g" R) [0 M  J; `+ N% V* N        $result['boolen']    = 1;
        $result['type_data'] = 'temp/'.$filename;
, _3 M) V9 Q, ?* L  ]        $result['picurl']    = SITE_PATH.'/uploads/temp/'.$filename;
  A" {# H6 I* c) w, W' j       } else {
        $result['boolen']    = 0;
        $result['message']   = '上传失败';
( i. W- @7 e3 L" ]8 P9 u  _8 \       }
     }else{
         $result['boolen']    = 0;
8 L! C* v' F, x9 E         $result['message']   = '上传失败';
5 q: L8 o1 ]  Z- `# i     }
4 S* }* y; U1 ]: v6 S! Sreturn $result;
! K6 A- P5 h" a6 T8 f    }
$ Q$ o* \2 {6 y' v9 k# Q5 Z% H) runloadpic()方法没有对文件类型进行验证
( @* e6 B* l) f! {4 c" g7 @
( r) O; F9 T" v1 r6 Y2 i5 Y+ L可以构建表单, 选择任意文件, 提交到
2 h, m8 [* ^( q( P/index.php?app=w3g&mod=Index&act=doPost

在新提交的微博上可以找到上传的文件地址(去掉small_、middle_ 前缀)


在登录thinksns官方微博后,
$ |! Y5 ]$ A. ^5 N构建以下表单:
6 D4 w! R" }5 W. [* W$ ]& q
- Y. q2 M0 J- ^& _% D3 i<form action="http://t.thinksns.com/index.php?app=w3g&mod=Index&act=doPost" method="post" enctype="multipart/form-data" />
. f8 L2 e; }2 b+ M# y9 ?, b9 x<textarea name="content">test</textarea>
  L7 @, B- b; T; _* C5 W" _  X2 H$ }file: <input id="file" type="file" name="pic" />
* z' i# c% |, |& Y3 `* T3 x5 L' l<input type="submit" value="Post" />
</form>
去掉缩略图的前缀(small_ )
, K9 U" F' Z% `​修复方案：
, f9 x3 ]: o- B9 N" v  j

\api\StatusesApi.class.php
( R5 h- z/ J& ~* [# ^2 W' z3 N
function uploadpic(){
     /**
      * 20121018 @yelo
8 w* N6 d4 `9 N3 B+ `) ^      * 增加上传类型验证
4 O5 i; y! y& }+ G      */
     $pathinfo = pathinfo($_FILES['pic']['name']);
( J( ]( Z0 r+ E/ ]     $ext = $pathinfo['extension'];
/ V+ K  V! e# W: y" y2 l $allowExts = array('jpg', 'png', 'gif', 'jpeg');

& D( m* p4 y; Z. I     $uploadCondition = $_FILES['pic'] && in_array(strtolower($ext),$allowExts,true);

" b5 N- }# m( [: J( M5 D. F; L     if( $uploadCondition ){
! S) ^* T. h5 [' M- o# _     //执行上传操作
     $savePath =  $this->_getSaveTempPath();
     $filename = md5( time().'teste' ).'.'.substr($_FILES['pic']['name'],strpos($_FILES['pic']['name'],'.')+1);
0 [) v" C8 n, N! B    if(@copy($_FILES['pic']['tmp_name'], $savePath.'/'.$filename) || @move_uploaded_file($_FILES['pic']['tmp_name'], $savePath.'/'.$filename))
       {
        $result['boolen']    = 1;
( B" m2 J' O9 m. c        $result['type_data'] = 'temp/'.$filename;
        $result['picurl']    = SITE_PATH.'/uploads/temp/'.$filename;
       } else {
        $result['boolen']    = 0;
  n4 s; ^8 M0 `  T* ?- J        $result['message']   = '上传失败';
       }
     }else{
( E7 S" M( e$ U& N* K# \         $result['boolen']    = 0;
$ s3 K1 G% g) Z$ k" ?         $result['message']   = '上传失败';
     }
return $result;
    }
/ x5 P2 H+ L% Z. m! J6 ]​
( W) \7 F) Y! b  z9 M. g