ThinkSNS 2.8任意文件上传漏洞及修复

admin

  微博上传图片时只在前端进行验证, 服务器端没有进行安全过滤。


\api\StatusesApi.class.php

function uploadpic(){
; q# Q) u9 X5 k6 ^  F1 Q( {      if( $_FILES['pic'] ){
     //执行上传操作
     $savePath =  $this->_getSaveTempPath();
6 S/ ^. E# Q! S* T     $filename = md5( time().'teste' ).'.'.substr($_FILES['pic']['name'],strpos($_FILES['pic']['name'],'.')+1);
& L$ k! J; p" N+ I* G8 U5 C) e- R    if(@copy($_FILES['pic']['tmp_name'], $savePath.'/'.$filename) || @move_uploaded_file($_FILES['pic']['tmp_name'], $savePath.'/'.$filename))
       {
( W0 r- s: g1 v4 I; ]        $result['boolen']    = 1;
        $result['type_data'] = 'temp/'.$filename;
        $result['picurl']    = SITE_PATH.'/uploads/temp/'.$filename;
       } else {
8 F$ S, J4 q* E7 K) `7 Q: e4 c5 F        $result['boolen']    = 0;
        $result['message']   = '上传失败';
, p+ \  \/ \6 O8 j       }
& G" ^' u6 v. M0 V( }; P9 [     }else{
, a- F/ V4 j: }% c4 T         $result['boolen']    = 0;
         $result['message']   = '上传失败';
9 g4 c8 w1 i2 r     }
$ j7 [. ~1 g6 D5 A/ Wreturn $result;
0 w5 J$ e) d5 u4 y! h) R4 L8 G* V    }
0 s. \2 `- {" |1 |  [* U$ _unloadpic()方法没有对文件类型进行验证
. S% E: ]7 \3 k$ P: Y8 ^
可以构建表单, 选择任意文件, 提交到
: f3 _5 r1 L% K& y* j; o. C/index.php?app=w3g&mod=Index&act=doPost
! f4 V# Y0 Y" [
, L' {2 }/ n1 t在新提交的微博上可以找到上传的文件地址(去掉small_、middle_ 前缀)

' i1 z. ~' x( x) B2 f
! H+ \* G) j' t- M) s" ^在登录thinksns官方微博后,
构建以下表单:

<form action="http://t.thinksns.com/index.php?app=w3g&mod=Index&act=doPost" method="post" enctype="multipart/form-data" />
2 A- `% u$ `  w" P<textarea name="content">test</textarea>
. }! K8 E: I4 y# ?3 Ofile: <input id="file" type="file" name="pic" />
7 ]; m4 Y# p7 ?2 M! a+ O1 l<input type="submit" value="Post" />
</form>
去掉缩略图的前缀(small_ )
' j/ Z4 ]2 J+ h3 R( W  V4 }​修复方案：

( @( t9 @3 T' O. c
\api\StatusesApi.class.php
. v/ Z- R. \7 j2 ~0 e& G' {9 p
% K7 B1 y, W; \' x8 I9 qfunction uploadpic(){
8 x* I% P: t2 F& U! A     /**
      * 20121018 @yelo
/ K( ]. D) c: a- U+ R      * 增加上传类型验证
      */
0 t" v& u& W. M) e3 G     $pathinfo = pathinfo($_FILES['pic']['name']);
- z# R  V- Z. G, n3 s' M1 d# l     $ext = $pathinfo['extension'];
$allowExts = array('jpg', 'png', 'gif', 'jpeg');
$ h; `" O& L; H- u7 Y: Q1 w7 V
6 ~" v! T% \  B8 ^- b     $uploadCondition = $_FILES['pic'] && in_array(strtolower($ext),$allowExts,true);

     if( $uploadCondition ){
; B( }3 i- l! O. ^% m# ]9 N3 M     //执行上传操作
' E. Z3 f1 a7 ]( K( ~2 ]: V     $savePath =  $this->_getSaveTempPath();
     $filename = md5( time().'teste' ).'.'.substr($_FILES['pic']['name'],strpos($_FILES['pic']['name'],'.')+1);
, }* Y' f7 D2 y. g2 l, K1 W    if(@copy($_FILES['pic']['tmp_name'], $savePath.'/'.$filename) || @move_uploaded_file($_FILES['pic']['tmp_name'], $savePath.'/'.$filename))
       {
, a. \% d' v- i6 ]        $result['boolen']    = 1;
        $result['type_data'] = 'temp/'.$filename;
        $result['picurl']    = SITE_PATH.'/uploads/temp/'.$filename;
       } else {
2 _5 A# X( X  y* M& q. G  F4 Z( G. h- U        $result['boolen']    = 0;
        $result['message']   = '上传失败';
       }
- _% r" f1 a. e  g! g     }else{
         $result['boolen']    = 0;
         $result['message']   = '上传失败';
) n' J( U/ l! F' K* z+ v     }
return $result;
    }
​