ThinkSNS 2.8任意文件上传漏洞及修复

admin

  微博上传图片时只在前端进行验证, 服务器端没有进行安全过滤。
! M# m, e- w. E" p
# l* `9 I# Z' U, K
" G; Z& N* z( }0 ?6 Y# L\api\StatusesApi.class.php
, y* Y# F2 {7 A) k0 S
function uploadpic(){
      if( $_FILES['pic'] ){
     //执行上传操作
     $savePath =  $this->_getSaveTempPath();
     $filename = md5( time().'teste' ).'.'.substr($_FILES['pic']['name'],strpos($_FILES['pic']['name'],'.')+1);
! w' `, Y) u! b5 o* Z0 D    if(@copy($_FILES['pic']['tmp_name'], $savePath.'/'.$filename) || @move_uploaded_file($_FILES['pic']['tmp_name'], $savePath.'/'.$filename))
2 H: R5 z; m* A! h# Y  B6 p; Q6 p$ W       {
        $result['boolen']    = 1;
7 e( _, P2 [1 J; c        $result['type_data'] = 'temp/'.$filename;
        $result['picurl']    = SITE_PATH.'/uploads/temp/'.$filename;
* {0 w: y4 i( s, \- I! [- y9 C       } else {
# s0 `! v) C" R+ _) A9 g; n6 f; x        $result['boolen']    = 0;
        $result['message']   = '上传失败';
/ a( y' T& v: ]6 o       }
     }else{
         $result['boolen']    = 0;
         $result['message']   = '上传失败';
     }
return $result;
2 D5 l! F" T1 L! E' R8 U) z    }
) e) B- b9 B" a3 x3 ^unloadpic()方法没有对文件类型进行验证

可以构建表单, 选择任意文件, 提交到
/index.php?app=w3g&mod=Index&act=doPost
: s* Y) ]! A% ^8 r0 C
在新提交的微博上可以找到上传的文件地址(去掉small_、middle_ 前缀)
' A$ Z9 O6 G% r# D! e) x# S& M3 K
6 P+ A, @) \/ ]0 o' t
2 c2 m; b# v( K在登录thinksns官方微博后,
# i+ t! l2 o$ s% H8 T1 D0 ]构建以下表单:

+ m% }  J; I1 X( E" c2 i$ q" W# a<form action="http://t.thinksns.com/index.php?app=w3g&mod=Index&act=doPost" method="post" enctype="multipart/form-data" />
<textarea name="content">test</textarea>
0 L* g8 V7 a$ ^7 [8 ffile: <input id="file" type="file" name="pic" />
<input type="submit" value="Post" />
</form>
7 [# A) R# q; C- q+ N去掉缩略图的前缀(small_ )
​修复方案：


\api\StatusesApi.class.php
6 f) F* Z! g$ G6 X
function uploadpic(){
     /**
      * 20121018 @yelo
      * 增加上传类型验证
( C  g" a5 o1 g/ q) B9 R8 R      */
( k# E# q1 }% C$ M$ E     $pathinfo = pathinfo($_FILES['pic']['name']);
     $ext = $pathinfo['extension'];
$allowExts = array('jpg', 'png', 'gif', 'jpeg');
! A5 y$ ?2 ~  O  H& N% C0 T; b: T; `
" l) E: A1 M5 v* v4 g6 F4 A1 ]     $uploadCondition = $_FILES['pic'] && in_array(strtolower($ext),$allowExts,true);
- P) y. T* F3 Q8 T# ~
1 ?* h% _; H% ?: K1 L     if( $uploadCondition ){
     //执行上传操作
- F7 C& I: }# ~- T2 q: h     $savePath =  $this->_getSaveTempPath();
     $filename = md5( time().'teste' ).'.'.substr($_FILES['pic']['name'],strpos($_FILES['pic']['name'],'.')+1);
: A. T0 M$ I( r) Z7 z. P& k9 J    if(@copy($_FILES['pic']['tmp_name'], $savePath.'/'.$filename) || @move_uploaded_file($_FILES['pic']['tmp_name'], $savePath.'/'.$filename))
       {
6 t" x& k5 M+ d7 Z        $result['boolen']    = 1;
, o3 C3 E6 X% S/ U& l6 z        $result['type_data'] = 'temp/'.$filename;
( Y) |5 F1 y: i1 ?% |& c        $result['picurl']    = SITE_PATH.'/uploads/temp/'.$filename;
       } else {
        $result['boolen']    = 0;
        $result['message']   = '上传失败';
3 E7 _0 K. ~- t, m9 J2 i5 ?( D( G6 |       }
     }else{
         $result['boolen']    = 0;
- l( S# g( y) A3 r: V         $result['message']   = '上传失败';
8 W; D7 Y. `: l8 k  h7 B     }
return $result;
: p) m; t& k1 E* S    }
​

! C4 s2 M* A% b7 g% r