ThinkSNS 2.8任意文件上传漏洞及修复

admin

  微博上传图片时只在前端进行验证, 服务器端没有进行安全过滤。
  g( I% x8 p! ^# r& [+ a  m$ _/ f

\api\StatusesApi.class.php

5 L) w5 L  }9 jfunction uploadpic(){
      if( $_FILES['pic'] ){
     //执行上传操作
$ j1 B8 R# r6 f1 W* s     $savePath =  $this->_getSaveTempPath();
     $filename = md5( time().'teste' ).'.'.substr($_FILES['pic']['name'],strpos($_FILES['pic']['name'],'.')+1);
8 T6 G" V; y2 Q3 }    if(@copy($_FILES['pic']['tmp_name'], $savePath.'/'.$filename) || @move_uploaded_file($_FILES['pic']['tmp_name'], $savePath.'/'.$filename))
- _# v( R: Y$ X       {
        $result['boolen']    = 1;
        $result['type_data'] = 'temp/'.$filename;
1 c, K4 @( {/ D6 `        $result['picurl']    = SITE_PATH.'/uploads/temp/'.$filename;
6 {% J  w1 ]5 j" v       } else {
        $result['boolen']    = 0;
8 @2 O  V- V0 F8 z( D7 V' W        $result['message']   = '上传失败';
       }
     }else{
         $result['boolen']    = 0;
& n1 f  j5 `/ H3 ]; T1 c         $result['message']   = '上传失败';
     }
return $result;
! ~: p) [( i) |9 `4 B+ o9 B    }
unloadpic()方法没有对文件类型进行验证
9 k0 W* J/ c: I+ T
: g. `8 z& ?) d/ f. i可以构建表单, 选择任意文件, 提交到
/index.php?app=w3g&mod=Index&act=doPost

在新提交的微博上可以找到上传的文件地址(去掉small_、middle_ 前缀)
* A. }% o8 v2 S. b/ S
& w; V9 F3 k2 L+ P
& A% V2 H5 s0 K4 n; k2 w6 T在登录thinksns官方微博后,
构建以下表单:
2 [. |! Q4 P- K) \: s. T% B9 ?
' U4 c5 j8 E7 z<form action="http://t.thinksns.com/index.php?app=w3g&mod=Index&act=doPost" method="post" enctype="multipart/form-data" />
<textarea name="content">test</textarea>
" l0 K" m# o3 p6 A9 Y! @( J- G! [file: <input id="file" type="file" name="pic" />
<input type="submit" value="Post" />
$ _) W0 R3 @+ n" \8 R</form>
6 P! w* t" B* y1 `0 v! |. i去掉缩略图的前缀(small_ )
. G* f- f0 k7 d* `: J; M​修复方案：


- T; n7 P6 u+ V" ~0 I3 x\api\StatusesApi.class.php

function uploadpic(){
( G, n9 l$ X; _- v3 N. {* U) u     /**
0 {$ C$ a' P# w8 U1 S1 h: `/ [9 P2 q      * 20121018 @yelo
4 z7 F0 X4 e# A      * 增加上传类型验证
' o3 y0 A7 f2 }7 X6 Q      */
# m2 _: H$ d. Q! U8 K$ v1 ]9 W, F     $pathinfo = pathinfo($_FILES['pic']['name']);
- J  v+ U) y2 C% k     $ext = $pathinfo['extension'];
3 S# U$ n6 z+ }: _ $allowExts = array('jpg', 'png', 'gif', 'jpeg');
1 m) o# p5 ?: f8 i5 o* n6 L. t1 K8 |
     $uploadCondition = $_FILES['pic'] && in_array(strtolower($ext),$allowExts,true);
+ G( q, p( }" J% r( ^7 y5 @  [
     if( $uploadCondition ){
     //执行上传操作
     $savePath =  $this->_getSaveTempPath();
     $filename = md5( time().'teste' ).'.'.substr($_FILES['pic']['name'],strpos($_FILES['pic']['name'],'.')+1);
    if(@copy($_FILES['pic']['tmp_name'], $savePath.'/'.$filename) || @move_uploaded_file($_FILES['pic']['tmp_name'], $savePath.'/'.$filename))
       {
  T3 W7 q; p% a' Y4 J        $result['boolen']    = 1;
        $result['type_data'] = 'temp/'.$filename;
' q0 ^7 }+ u, V8 U- ~5 q        $result['picurl']    = SITE_PATH.'/uploads/temp/'.$filename;
1 ~% q3 Z; h. j( b, Z       } else {
1 _9 S4 Y5 M# q8 c6 H# O        $result['boolen']    = 0;
8 l  Y! b3 B+ N! P9 N* p  o        $result['message']   = '上传失败';
       }
     }else{
         $result['boolen']    = 0;
         $result['message']   = '上传失败';
     }
! u8 d; b; {$ u% {3 p. Zreturn $result;
    }
0 u+ g- ~" o; _0 O​