ThinkSNS 2.8任意文件上传漏洞及修复

admin

  微博上传图片时只在前端进行验证, 服务器端没有进行安全过滤。


7 `$ ]- R0 f3 z! n2 c2 Z& o\api\StatusesApi.class.php
3 g3 |, D! Y* H& n
7 f4 v$ T8 W5 x: y$ R" Y, yfunction uploadpic(){
      if( $_FILES['pic'] ){
     //执行上传操作
/ v9 o# o1 Y; L- n, T     $savePath =  $this->_getSaveTempPath();
7 i5 m9 z. Y* @6 p. A     $filename = md5( time().'teste' ).'.'.substr($_FILES['pic']['name'],strpos($_FILES['pic']['name'],'.')+1);
    if(@copy($_FILES['pic']['tmp_name'], $savePath.'/'.$filename) || @move_uploaded_file($_FILES['pic']['tmp_name'], $savePath.'/'.$filename))
, g* I8 l: ?* Q       {
        $result['boolen']    = 1;
; E6 Y4 E0 m( N- l        $result['type_data'] = 'temp/'.$filename;
        $result['picurl']    = SITE_PATH.'/uploads/temp/'.$filename;
       } else {
        $result['boolen']    = 0;
8 l7 j3 j4 a" s3 U        $result['message']   = '上传失败';
       }
3 g: B) @4 p' Y2 V- \8 g: J+ X     }else{
9 T5 C! R+ @$ n0 h         $result['boolen']    = 0;
         $result['message']   = '上传失败';
     }
return $result;
9 Z, b! `) A1 ?3 R4 t    }
) Y! [& Q3 e/ S6 K) Punloadpic()方法没有对文件类型进行验证

% r4 P) \+ f- a# S; [! j可以构建表单, 选择任意文件, 提交到
/index.php?app=w3g&mod=Index&act=doPost
! w  [' u3 F# V$ J) T
在新提交的微博上可以找到上传的文件地址(去掉small_、middle_ 前缀)
1 P# Y, r7 d1 O
" U& p: n. j! p2 s* \4 q
在登录thinksns官方微博后,
/ J# n+ g! T% O3 G0 g/ n构建以下表单:
( |! S9 W, g4 g8 B+ Y) Z3 k
0 |8 m! Q3 ~- |2 F" v<form action="http://t.thinksns.com/index.php?app=w3g&mod=Index&act=doPost" method="post" enctype="multipart/form-data" />
<textarea name="content">test</textarea>
file: <input id="file" type="file" name="pic" />
8 B% Z# C* t# b  L<input type="submit" value="Post" />
  M3 n- N- [3 c) t& Q' E</form>
去掉缩略图的前缀(small_ )
​修复方案：
( V7 Z" B' S5 T4 J+ j# E7 k

\api\StatusesApi.class.php

function uploadpic(){
     /**
      * 20121018 @yelo
, t  r  S) V' Z/ A: F8 J- j8 X      * 增加上传类型验证
      */
4 c; q& g' E' q0 w     $pathinfo = pathinfo($_FILES['pic']['name']);
     $ext = $pathinfo['extension'];
$allowExts = array('jpg', 'png', 'gif', 'jpeg');

     $uploadCondition = $_FILES['pic'] && in_array(strtolower($ext),$allowExts,true);

     if( $uploadCondition ){
     //执行上传操作
     $savePath =  $this->_getSaveTempPath();
     $filename = md5( time().'teste' ).'.'.substr($_FILES['pic']['name'],strpos($_FILES['pic']['name'],'.')+1);
) ~7 _* _! ]$ W1 ~    if(@copy($_FILES['pic']['tmp_name'], $savePath.'/'.$filename) || @move_uploaded_file($_FILES['pic']['tmp_name'], $savePath.'/'.$filename))
       {
        $result['boolen']    = 1;
        $result['type_data'] = 'temp/'.$filename;
5 c7 \( f1 x1 m$ ?        $result['picurl']    = SITE_PATH.'/uploads/temp/'.$filename;
       } else {
        $result['boolen']    = 0;
        $result['message']   = '上传失败';
       }
     }else{
         $result['boolen']    = 0;
         $result['message']   = '上传失败';
: p9 H& f9 p, a- D7 u; i     }
return $result;
    }
​

- r/ F+ ?- U* \' ^  Q