ThinkSNS 2.8任意文件上传漏洞及修复

admin

  微博上传图片时只在前端进行验证, 服务器端没有进行安全过滤。
" t, c( g  [4 q2 _6 G5 T
; {$ F7 _$ ]7 T; J, _
\api\StatusesApi.class.php

function uploadpic(){
      if( $_FILES['pic'] ){
' s& f0 f* D0 j: V     //执行上传操作
     $savePath =  $this->_getSaveTempPath();
5 D6 g2 R# B2 U. N, D4 l     $filename = md5( time().'teste' ).'.'.substr($_FILES['pic']['name'],strpos($_FILES['pic']['name'],'.')+1);
    if(@copy($_FILES['pic']['tmp_name'], $savePath.'/'.$filename) || @move_uploaded_file($_FILES['pic']['tmp_name'], $savePath.'/'.$filename))
       {
! f4 A! s1 ?3 ~; E2 O        $result['boolen']    = 1;
+ x0 H4 |- o$ K+ t! Z        $result['type_data'] = 'temp/'.$filename;
/ B. \6 M3 i4 r0 @: j8 x        $result['picurl']    = SITE_PATH.'/uploads/temp/'.$filename;
  u8 c0 z' X: M       } else {
        $result['boolen']    = 0;
. Z6 P/ a, c) U  r& d        $result['message']   = '上传失败';
       }
2 ?1 u( ?( Y! |4 j. g- a     }else{
- K0 C$ r8 t- f* h         $result['boolen']    = 0;
% ~$ c% M5 k. ?4 r/ P         $result['message']   = '上传失败';
, {8 |) @) J7 ^% W' x# N     }
/ I! J$ k5 ]6 l* l- P: Creturn $result;
    }
unloadpic()方法没有对文件类型进行验证

可以构建表单, 选择任意文件, 提交到
/index.php?app=w3g&mod=Index&act=doPost

在新提交的微博上可以找到上传的文件地址(去掉small_、middle_ 前缀)


在登录thinksns官方微博后,
构建以下表单:
8 Y) ^+ V1 C3 {
<form action="http://t.thinksns.com/index.php?app=w3g&mod=Index&act=doPost" method="post" enctype="multipart/form-data" />
* U! y. h! d+ U) }3 H& ~<textarea name="content">test</textarea>
3 U0 z9 v% l" w" U1 [: @/ M3 Zfile: <input id="file" type="file" name="pic" />
<input type="submit" value="Post" />
</form>
6 X& @' R% J4 N4 b去掉缩略图的前缀(small_ )
0 I/ _$ E$ z( M- y# m4 ?; F, N8 n​修复方案：

# I0 p5 o1 K! {* L0 r) R+ p
1 t, [+ L% f# s) t\api\StatusesApi.class.php

. D( D- [9 s  I; u& Xfunction uploadpic(){
# b9 U/ a2 Q7 ?& N- N: x     /**
  z( c: o0 L4 j# ]5 x, g      * 20121018 @yelo
      * 增加上传类型验证
      */
     $pathinfo = pathinfo($_FILES['pic']['name']);
: n  J# ~3 a9 f. G1 C7 y     $ext = $pathinfo['extension'];
$allowExts = array('jpg', 'png', 'gif', 'jpeg');

     $uploadCondition = $_FILES['pic'] && in_array(strtolower($ext),$allowExts,true);

- n; g8 k6 j  B5 I" U9 `9 ]     if( $uploadCondition ){
. v  I# d6 E& w+ }! E; U) y     //执行上传操作
     $savePath =  $this->_getSaveTempPath();
3 B: J0 k0 x& E& u4 W4 a6 z     $filename = md5( time().'teste' ).'.'.substr($_FILES['pic']['name'],strpos($_FILES['pic']['name'],'.')+1);
* r2 s  k$ I9 ]+ ?/ X5 ]5 B7 [8 u" h    if(@copy($_FILES['pic']['tmp_name'], $savePath.'/'.$filename) || @move_uploaded_file($_FILES['pic']['tmp_name'], $savePath.'/'.$filename))
+ Q2 S' t/ ?/ b8 @1 q2 u1 x       {
# l  k2 G  m4 q& B- b+ N        $result['boolen']    = 1;
- W2 X5 x, o' {, P1 P        $result['type_data'] = 'temp/'.$filename;
) N- y$ G6 T" P; |7 S1 l        $result['picurl']    = SITE_PATH.'/uploads/temp/'.$filename;
       } else {
        $result['boolen']    = 0;
        $result['message']   = '上传失败';
       }
     }else{
         $result['boolen']    = 0;
9 ^/ G3 ~' @& \5 ~8 \9 n  r3 [* p& n         $result['message']   = '上传失败';
9 `$ H* V3 b5 l9 h% X5 R: V7 D5 \, p     }
return $result;
    }
​
- M/ A" Q- \! n5 ]) ~- `