ThinkSNS 2.8任意文件上传漏洞及修复

admin

  微博上传图片时只在前端进行验证, 服务器端没有进行安全过滤。

* |6 {, k4 g# C+ Z& g
2 W" ~* a, M3 l# l\api\StatusesApi.class.php
; W: k6 a! v. @" I8 O
function uploadpic(){
4 V) Y1 @5 H. s0 ~0 N6 j      if( $_FILES['pic'] ){
- n' ?1 ~) ^8 I$ P4 `2 b; E8 o     //执行上传操作
     $savePath =  $this->_getSaveTempPath();
5 w0 a; U3 J  @8 x3 c' S- c     $filename = md5( time().'teste' ).'.'.substr($_FILES['pic']['name'],strpos($_FILES['pic']['name'],'.')+1);
    if(@copy($_FILES['pic']['tmp_name'], $savePath.'/'.$filename) || @move_uploaded_file($_FILES['pic']['tmp_name'], $savePath.'/'.$filename))
       {
        $result['boolen']    = 1;
0 N% D: B$ H' Z: ^' A7 y* {) t        $result['type_data'] = 'temp/'.$filename;
        $result['picurl']    = SITE_PATH.'/uploads/temp/'.$filename;
, q& n* E" C+ t* t       } else {
! @: B2 B) F7 Z        $result['boolen']    = 0;
        $result['message']   = '上传失败';
       }
     }else{
         $result['boolen']    = 0;
) H! u+ J' T# N6 P         $result['message']   = '上传失败';
     }
return $result;
    }
unloadpic()方法没有对文件类型进行验证
+ @1 _4 V7 ]/ U( x0 N  u( z
可以构建表单, 选择任意文件, 提交到
( K( q6 ^; T/ g  z: R; E( c/index.php?app=w3g&mod=Index&act=doPost

% U$ |+ v& G  z2 G; u在新提交的微博上可以找到上传的文件地址(去掉small_、middle_ 前缀)


在登录thinksns官方微博后,
; w9 d/ }, m0 |+ `6 g5 E& {构建以下表单:
$ F/ r# ?" J5 z+ d; W7 G
) w6 `# D3 B, [<form action="http://t.thinksns.com/index.php?app=w3g&mod=Index&act=doPost" method="post" enctype="multipart/form-data" />
# |( Y" t: G2 n" w; m5 h<textarea name="content">test</textarea>
file: <input id="file" type="file" name="pic" />
" B4 j8 C' A- b/ Q5 |. C<input type="submit" value="Post" />
5 J3 T7 Y/ a" `. W8 }</form>
去掉缩略图的前缀(small_ )
​修复方案：


- E: p# w& r# ~9 h5 u+ U# z\api\StatusesApi.class.php
5 D$ k5 D6 ?; R3 \% W8 U6 b4 E
( }8 |+ g2 r9 ^function uploadpic(){
     /**
      * 20121018 @yelo
$ d3 A! l9 K( o  V4 T      * 增加上传类型验证
      */
     $pathinfo = pathinfo($_FILES['pic']['name']);
     $ext = $pathinfo['extension'];
$allowExts = array('jpg', 'png', 'gif', 'jpeg');

* B6 M) p7 U# Y6 L# N4 q9 P6 v2 @# @     $uploadCondition = $_FILES['pic'] && in_array(strtolower($ext),$allowExts,true);
! M0 H% m( n9 N
     if( $uploadCondition ){
     //执行上传操作
/ b8 K% J) L: L) e     $savePath =  $this->_getSaveTempPath();
     $filename = md5( time().'teste' ).'.'.substr($_FILES['pic']['name'],strpos($_FILES['pic']['name'],'.')+1);
    if(@copy($_FILES['pic']['tmp_name'], $savePath.'/'.$filename) || @move_uploaded_file($_FILES['pic']['tmp_name'], $savePath.'/'.$filename))
       {
9 M' x( d9 m; L! L        $result['boolen']    = 1;
        $result['type_data'] = 'temp/'.$filename;
4 K; {, }& D- t" q1 G) ]* o        $result['picurl']    = SITE_PATH.'/uploads/temp/'.$filename;
" a8 Z0 S7 |3 Z- a1 P       } else {
        $result['boolen']    = 0;
        $result['message']   = '上传失败';
       }
     }else{
- N4 R3 w% m! @1 G7 m& u* o) v         $result['boolen']    = 0;
         $result['message']   = '上传失败';
6 H( L0 q* V8 X- i+ h; g     }
: K: v/ B$ w( A. greturn $result;
! S" o2 H9 z6 v# [, i& M% ^8 m/ H    }
​