ThinkSNS 2.8任意文件上传漏洞及修复

admin

  微博上传图片时只在前端进行验证, 服务器端没有进行安全过滤。

8 v* K9 ?& v( N, E0 J$ f" ^
\api\StatusesApi.class.php

function uploadpic(){
+ _8 O& Q# i3 T6 ]/ N      if( $_FILES['pic'] ){
  h. ]4 f* q9 F0 |     //执行上传操作
     $savePath =  $this->_getSaveTempPath();
     $filename = md5( time().'teste' ).'.'.substr($_FILES['pic']['name'],strpos($_FILES['pic']['name'],'.')+1);
    if(@copy($_FILES['pic']['tmp_name'], $savePath.'/'.$filename) || @move_uploaded_file($_FILES['pic']['tmp_name'], $savePath.'/'.$filename))
       {
/ z5 N! G# s3 i" W1 ]! O1 T# A        $result['boolen']    = 1;
3 n# l2 ]  k9 E. C. E        $result['type_data'] = 'temp/'.$filename;
9 @9 u  e' q. P) z: T; ]& `        $result['picurl']    = SITE_PATH.'/uploads/temp/'.$filename;
4 U2 M: y& H4 i7 y: L3 S+ g       } else {
        $result['boolen']    = 0;
/ T+ R0 X) `2 u, R* n, g8 O0 I        $result['message']   = '上传失败';
8 \' g9 C1 v) }: y       }
     }else{
         $result['boolen']    = 0;
         $result['message']   = '上传失败';
9 z+ T3 T. ?  S     }
$ \! H  w8 e( zreturn $result;
  ]9 n4 B" t( X. s    }
unloadpic()方法没有对文件类型进行验证
1 S. L% x4 s1 q* K
可以构建表单, 选择任意文件, 提交到
6 f% n# w. l2 _8 G% {4 y. `/index.php?app=w3g&mod=Index&act=doPost

0 L( H& b( m# R; F* Y+ I  @- R在新提交的微博上可以找到上传的文件地址(去掉small_、middle_ 前缀)
  C$ l$ j$ @; C! y4 R$ p! m
; y! l5 |* v9 T& m
! y3 S  ~9 W5 v  F在登录thinksns官方微博后,
构建以下表单:

<form action="http://t.thinksns.com/index.php?app=w3g&mod=Index&act=doPost" method="post" enctype="multipart/form-data" />
<textarea name="content">test</textarea>
file: <input id="file" type="file" name="pic" />
<input type="submit" value="Post" />
</form>
去掉缩略图的前缀(small_ )
​修复方案：
2 v2 a$ l, ]8 P" u

\api\StatusesApi.class.php
: d' \0 B" z* @) q% J: ]
function uploadpic(){
     /**
      * 20121018 @yelo
3 E  V! u# h# Z3 @- n      * 增加上传类型验证
1 i7 ~0 A" X) r4 }9 P$ _      */
1 B  o- t; C7 ?. p     $pathinfo = pathinfo($_FILES['pic']['name']);
0 L; e( d/ Z! T1 O: ]     $ext = $pathinfo['extension'];
$allowExts = array('jpg', 'png', 'gif', 'jpeg');
8 x: X6 C) `4 c$ x3 O
     $uploadCondition = $_FILES['pic'] && in_array(strtolower($ext),$allowExts,true);

     if( $uploadCondition ){
     //执行上传操作
6 R7 X5 v; q! ?- d- L4 Y     $savePath =  $this->_getSaveTempPath();
3 F+ @) D- X5 z& M- m7 c: z     $filename = md5( time().'teste' ).'.'.substr($_FILES['pic']['name'],strpos($_FILES['pic']['name'],'.')+1);
    if(@copy($_FILES['pic']['tmp_name'], $savePath.'/'.$filename) || @move_uploaded_file($_FILES['pic']['tmp_name'], $savePath.'/'.$filename))
8 o1 E) Z6 [# ?       {
( Y6 Q; N/ ]& j& s$ O% w9 Y/ f        $result['boolen']    = 1;
/ r. w( m+ S5 T# s4 Q. P# L        $result['type_data'] = 'temp/'.$filename;
( q  M* }+ l3 A2 A9 w" y* A        $result['picurl']    = SITE_PATH.'/uploads/temp/'.$filename;
       } else {
        $result['boolen']    = 0;
6 S3 X% [- C6 a/ }1 u0 H        $result['message']   = '上传失败';
       }
     }else{
+ O' P' k, O) o         $result['boolen']    = 0;
         $result['message']   = '上传失败';
     }
return $result;
    }
​
) m2 |) a6 l1 i1 w
2 Q8 O/ {% c/ X& D& J+ p/ Y4 I1 [, V