ThinkSNS 2.8任意文件上传漏洞及修复

admin

  微博上传图片时只在前端进行验证, 服务器端没有进行安全过滤。

4 x6 V0 ^2 G8 H4 `, N% H" @
" I( L) R; \4 L0 k& j% ~\api\StatusesApi.class.php

2 I1 y2 N1 X+ I% v: [6 t& c2 Cfunction uploadpic(){
      if( $_FILES['pic'] ){
& ]! e4 t& P# Q/ t     //执行上传操作
     $savePath =  $this->_getSaveTempPath();
/ L$ ~3 l/ r" v) s+ Y% x     $filename = md5( time().'teste' ).'.'.substr($_FILES['pic']['name'],strpos($_FILES['pic']['name'],'.')+1);
5 \2 G- a7 W2 I! |    if(@copy($_FILES['pic']['tmp_name'], $savePath.'/'.$filename) || @move_uploaded_file($_FILES['pic']['tmp_name'], $savePath.'/'.$filename))
6 a* k: F" j+ H+ [/ W       {
        $result['boolen']    = 1;
        $result['type_data'] = 'temp/'.$filename;
        $result['picurl']    = SITE_PATH.'/uploads/temp/'.$filename;
       } else {
  Q7 c+ b0 U* D- r0 A! F        $result['boolen']    = 0;
% g" o8 s0 t* N, o$ @8 U9 ?1 T' H. W        $result['message']   = '上传失败';
       }
     }else{
) J% k! i8 O' X, n  W# |         $result['boolen']    = 0;
         $result['message']   = '上传失败';
/ s) n9 L. [) D- g     }
8 U- ~6 i: R- p" b4 U$ \" Hreturn $result;
& n4 V' k) s$ m8 M. i$ {    }
0 j. l0 k: B) N5 |' D& q' |5 xunloadpic()方法没有对文件类型进行验证
2 Z, f8 t' U6 W. [' u3 q+ }$ `
可以构建表单, 选择任意文件, 提交到
/index.php?app=w3g&mod=Index&act=doPost
, l+ O* z5 K3 X
4 Y# m% d, |+ H在新提交的微博上可以找到上传的文件地址(去掉small_、middle_ 前缀)


在登录thinksns官方微博后,
% t8 n) E  M2 Z& ?! ^构建以下表单:
! K# X+ x; \3 T  u) d
<form action="http://t.thinksns.com/index.php?app=w3g&mod=Index&act=doPost" method="post" enctype="multipart/form-data" />
<textarea name="content">test</textarea>
  e3 o' D$ G" q& O8 Cfile: <input id="file" type="file" name="pic" />
( W! Y5 C7 s+ y: i<input type="submit" value="Post" />
</form>
( T4 L, z+ k6 V+ q! v6 \( G去掉缩略图的前缀(small_ )
8 u% r9 A* O8 S​修复方案：

7 g; w# g' _' ]7 k* z
\api\StatusesApi.class.php
2 p, ~1 n. J. ]8 ^! f# Z
4 Z8 P) b# |; ?+ bfunction uploadpic(){
     /**
      * 20121018 @yelo
      * 增加上传类型验证
9 [* G; v+ p% {/ x  O) q      */
     $pathinfo = pathinfo($_FILES['pic']['name']);
# T' f/ N7 T0 ^     $ext = $pathinfo['extension'];
, _( O$ h) J5 i" I) a* `; p/ A% C  L $allowExts = array('jpg', 'png', 'gif', 'jpeg');

4 g) U, `) v* T) a8 o5 ?5 V4 l     $uploadCondition = $_FILES['pic'] && in_array(strtolower($ext),$allowExts,true);

+ d% ]9 t- E2 C" }$ H     if( $uploadCondition ){
9 o, H: P% n! ?, k     //执行上传操作
     $savePath =  $this->_getSaveTempPath();
- f+ W, \: O. [: L' i     $filename = md5( time().'teste' ).'.'.substr($_FILES['pic']['name'],strpos($_FILES['pic']['name'],'.')+1);
    if(@copy($_FILES['pic']['tmp_name'], $savePath.'/'.$filename) || @move_uploaded_file($_FILES['pic']['tmp_name'], $savePath.'/'.$filename))
! |6 a6 `. R5 F! A& s/ @       {
        $result['boolen']    = 1;
        $result['type_data'] = 'temp/'.$filename;
4 G$ b3 e% H9 I* z3 a8 Q. J        $result['picurl']    = SITE_PATH.'/uploads/temp/'.$filename;
       } else {
        $result['boolen']    = 0;
        $result['message']   = '上传失败';
       }
     }else{
: z& F; Q/ v# Q, a         $result['boolen']    = 0;
         $result['message']   = '上传失败';
     }
return $result;
" C, N/ W& x- a2 ]# T    }
​

3 l* S& M, G7 z& s. f5 h1 [