ThinkSNS 2.8任意文件上传漏洞及修复

admin

  微博上传图片时只在前端进行验证, 服务器端没有进行安全过滤。
' J% m5 A0 ^' ~3 ^/ }9 b8 A* O$ g5 h9 V
* G9 R/ n) L: O: h
\api\StatusesApi.class.php

function uploadpic(){
# {, M% S0 ?. \3 G0 p      if( $_FILES['pic'] ){
     //执行上传操作
     $savePath =  $this->_getSaveTempPath();
     $filename = md5( time().'teste' ).'.'.substr($_FILES['pic']['name'],strpos($_FILES['pic']['name'],'.')+1);
- c7 W5 W: q* _8 ^    if(@copy($_FILES['pic']['tmp_name'], $savePath.'/'.$filename) || @move_uploaded_file($_FILES['pic']['tmp_name'], $savePath.'/'.$filename))
       {
$ \  c: z5 K/ h8 Y6 c        $result['boolen']    = 1;
) N% \* u' m) z- Y3 w. }+ S7 q; R        $result['type_data'] = 'temp/'.$filename;
        $result['picurl']    = SITE_PATH.'/uploads/temp/'.$filename;
       } else {
8 g- l! z7 x/ ~6 T9 w+ G        $result['boolen']    = 0;
" x0 F3 n0 C0 w7 Q$ |; A8 P' c2 j        $result['message']   = '上传失败';
& r+ i0 ^' m7 ~9 F# c0 r       }
* |0 c6 Q1 P- S" L( h8 G     }else{
5 z& j; k3 {1 n1 ^+ u         $result['boolen']    = 0;
; c2 k: {" X% G" K6 x* }# C1 E         $result['message']   = '上传失败';
     }
4 S& @6 Y3 T) C# v% d) Wreturn $result;
, @/ ?! g! C% i% _    }
- |; m$ c; K( ~8 q) r' @. ^" Ounloadpic()方法没有对文件类型进行验证
1 ^5 O7 X( j# r
可以构建表单, 选择任意文件, 提交到
/index.php?app=w3g&mod=Index&act=doPost
/ n6 _  S/ W* x7 ]: U/ o
- @7 R+ A9 _5 O8 T2 a9 v0 _* a# ^# H在新提交的微博上可以找到上传的文件地址(去掉small_、middle_ 前缀)


& v( W" Y; Y6 J! W! j在登录thinksns官方微博后,
构建以下表单:

- A5 S8 S4 G! ~/ s# @  @4 ?7 a<form action="http://t.thinksns.com/index.php?app=w3g&mod=Index&act=doPost" method="post" enctype="multipart/form-data" />
<textarea name="content">test</textarea>
& H/ q2 E; H' a2 Mfile: <input id="file" type="file" name="pic" />
; t' o, D0 S+ U2 N. B  c<input type="submit" value="Post" />
</form>
去掉缩略图的前缀(small_ )
/ k, K, E% M2 K1 l0 N​修复方案：

) K) S9 a% s$ _, m: [1 A
\api\StatusesApi.class.php

function uploadpic(){
     /**
      * 20121018 @yelo
      * 增加上传类型验证
      */
2 e: S" E1 K" T2 ?1 @     $pathinfo = pathinfo($_FILES['pic']['name']);
9 \6 j( c8 a# z; B+ V( b     $ext = $pathinfo['extension'];
$allowExts = array('jpg', 'png', 'gif', 'jpeg');

- K1 a! W9 W9 k' U; g0 [8 p, q     $uploadCondition = $_FILES['pic'] && in_array(strtolower($ext),$allowExts,true);
5 ?2 Y2 g  |# t# e' ^
     if( $uploadCondition ){
* G6 e# e2 Q" @1 j) s$ M4 G* D$ E     //执行上传操作
7 S0 P3 W! x- u! t. H+ x     $savePath =  $this->_getSaveTempPath();
" E4 @' W( w% K' [0 o     $filename = md5( time().'teste' ).'.'.substr($_FILES['pic']['name'],strpos($_FILES['pic']['name'],'.')+1);
    if(@copy($_FILES['pic']['tmp_name'], $savePath.'/'.$filename) || @move_uploaded_file($_FILES['pic']['tmp_name'], $savePath.'/'.$filename))
       {
; K6 R/ y4 |8 s' C        $result['boolen']    = 1;
        $result['type_data'] = 'temp/'.$filename;
* l1 g$ R3 D" Y4 N" T        $result['picurl']    = SITE_PATH.'/uploads/temp/'.$filename;
       } else {
        $result['boolen']    = 0;
+ N2 d: g* X& E: Q5 n6 t        $result['message']   = '上传失败';
3 j) o8 E2 P- i8 l1 `       }
8 R' f, p9 l: z# \" n' _  h, l8 w     }else{
         $result['boolen']    = 0;
         $result['message']   = '上传失败';
+ H2 ~) q3 A( e3 {     }
return $result;
    }
2 D! F2 a* K9 `( t​

) H+ \2 ^8 b/ |: }( u: u0 T