ThinkSNS 2.8任意文件上传漏洞及修复

admin

  微博上传图片时只在前端进行验证, 服务器端没有进行安全过滤。

: _" O& K' U' z  H4 A
\api\StatusesApi.class.php

function uploadpic(){
* R7 E  i5 E  Q0 m; F2 O      if( $_FILES['pic'] ){
     //执行上传操作
     $savePath =  $this->_getSaveTempPath();
# @& v; Z) g; ^! U" e) ?; `* j$ M     $filename = md5( time().'teste' ).'.'.substr($_FILES['pic']['name'],strpos($_FILES['pic']['name'],'.')+1);
" ~$ u! H; V: M. D# I' g1 v/ ^9 e    if(@copy($_FILES['pic']['tmp_name'], $savePath.'/'.$filename) || @move_uploaded_file($_FILES['pic']['tmp_name'], $savePath.'/'.$filename))
" }, Y/ `8 Q5 ?( G' m( g5 C" o- @       {
3 V( z. \0 H7 w. J) J8 s7 E% \1 D        $result['boolen']    = 1;
1 i! G  P/ c* F8 q& S1 a6 V        $result['type_data'] = 'temp/'.$filename;
: Q2 c0 t7 [- i# r        $result['picurl']    = SITE_PATH.'/uploads/temp/'.$filename;
       } else {
        $result['boolen']    = 0;
5 S5 i' w: G/ I4 M        $result['message']   = '上传失败';
) Y9 y# G3 `: k3 z) O       }
3 y6 z5 ?% T( t9 R5 y/ m" B     }else{
         $result['boolen']    = 0;
8 W, [* j% v# g/ b, T/ P2 ~         $result['message']   = '上传失败';
% }3 d3 W4 s1 D) E' _( H/ e     }
return $result;
    }
. n, ~' ~2 q9 F8 r( g4 K4 s5 |; yunloadpic()方法没有对文件类型进行验证
  e; }/ o5 L8 x- l5 s: b; A4 S% `7 Q; P
; G# M$ C7 ?# y* Q! v可以构建表单, 选择任意文件, 提交到
/index.php?app=w3g&mod=Index&act=doPost
4 j7 t* }! f: r  [( w6 k  I) @
) N/ ^' g/ Y& ]/ o$ r! X  [在新提交的微博上可以找到上传的文件地址(去掉small_、middle_ 前缀)


$ ^6 N% g& i6 w在登录thinksns官方微博后,
7 y7 o/ ?: G  _+ \构建以下表单:

<form action="http://t.thinksns.com/index.php?app=w3g&mod=Index&act=doPost" method="post" enctype="multipart/form-data" />
% j2 l1 K( f8 s6 m2 T<textarea name="content">test</textarea>
file: <input id="file" type="file" name="pic" />
<input type="submit" value="Post" />
</form>
去掉缩略图的前缀(small_ )
​修复方案：

7 N; B# b* T( p& i+ V5 i% [3 r
\api\StatusesApi.class.php

function uploadpic(){
     /**
0 R5 c  e( Q7 X5 C      * 20121018 @yelo
      * 增加上传类型验证
      */
7 e( D7 W: J/ A! O$ [. w$ S     $pathinfo = pathinfo($_FILES['pic']['name']);
     $ext = $pathinfo['extension'];
$allowExts = array('jpg', 'png', 'gif', 'jpeg');
; R- I; R0 X& @
     $uploadCondition = $_FILES['pic'] && in_array(strtolower($ext),$allowExts,true);
9 }2 S% V+ e. T  O/ B& c
$ M  J8 }1 [2 ^3 g( H$ W     if( $uploadCondition ){
  Y/ s$ [! B2 X6 }7 b6 Q0 z     //执行上传操作
. \, R) a# g1 ]0 K# u; k0 x; j4 ?     $savePath =  $this->_getSaveTempPath();
  N+ M  }% N8 K* ~, ]9 |     $filename = md5( time().'teste' ).'.'.substr($_FILES['pic']['name'],strpos($_FILES['pic']['name'],'.')+1);
    if(@copy($_FILES['pic']['tmp_name'], $savePath.'/'.$filename) || @move_uploaded_file($_FILES['pic']['tmp_name'], $savePath.'/'.$filename))
       {
        $result['boolen']    = 1;
        $result['type_data'] = 'temp/'.$filename;
        $result['picurl']    = SITE_PATH.'/uploads/temp/'.$filename;
# l2 V# c* n1 A3 c9 z% X! I" W       } else {
/ |  h1 L; Z) u# }, ?) R        $result['boolen']    = 0;
+ t+ P# F" j$ p7 S, u        $result['message']   = '上传失败';
. F# s! c1 E' f6 y. a7 F4 N* _       }
4 ]" \* k$ d# R2 r     }else{
         $result['boolen']    = 0;
         $result['message']   = '上传失败';
     }
return $result;
2 p/ k0 Z3 H" w% A    }
  ~0 K! T& c0 \0 o/ Z4 p5 N: X: e1 K​
, r: V! B9 j/ y8 w