ThinkSNS 2.8任意文件上传漏洞及修复

admin

  微博上传图片时只在前端进行验证, 服务器端没有进行安全过滤。
8 z' w  V% g- `: T
% n3 ^; C% b3 d$ a
\api\StatusesApi.class.php

function uploadpic(){
+ d2 O1 X* ~: Y  e- m# }      if( $_FILES['pic'] ){
, ]6 l5 L7 m# _" E7 g, V2 o9 x     //执行上传操作
2 _8 m& m( F# h4 ~/ v     $savePath =  $this->_getSaveTempPath();
/ c# x0 A4 f0 m: z7 X     $filename = md5( time().'teste' ).'.'.substr($_FILES['pic']['name'],strpos($_FILES['pic']['name'],'.')+1);
( a) {% v$ O) ?    if(@copy($_FILES['pic']['tmp_name'], $savePath.'/'.$filename) || @move_uploaded_file($_FILES['pic']['tmp_name'], $savePath.'/'.$filename))
       {
  J) q. R' O7 `9 ^  f& b' w/ Z        $result['boolen']    = 1;
        $result['type_data'] = 'temp/'.$filename;
        $result['picurl']    = SITE_PATH.'/uploads/temp/'.$filename;
3 [9 H  l% g. h4 g- Z6 h& P( I       } else {
        $result['boolen']    = 0;
        $result['message']   = '上传失败';
6 d" \4 [. y/ d2 R( Z6 {( s/ \       }
7 \3 N6 x/ _5 O, d- `" y     }else{
: r0 m+ O5 l3 H! {& [: k         $result['boolen']    = 0;
' u7 G9 r4 x( T5 s: F, e5 Q; w         $result['message']   = '上传失败';
3 q9 X2 P0 q2 O0 G     }
return $result;
! l& a$ a2 Z4 a    }
/ R; M& _- H/ j& @: T& }unloadpic()方法没有对文件类型进行验证
- W7 M7 @8 w) Z- a$ [2 Z
可以构建表单, 选择任意文件, 提交到
; }6 U8 J5 y+ b, f8 G/index.php?app=w3g&mod=Index&act=doPost

在新提交的微博上可以找到上传的文件地址(去掉small_、middle_ 前缀)


在登录thinksns官方微博后,
) l5 R% t0 T" J3 J. Y& y构建以下表单:
+ Z+ D, l- X. [' Y4 y; i( {
) ^9 y/ q6 ]  `<form action="http://t.thinksns.com/index.php?app=w3g&mod=Index&act=doPost" method="post" enctype="multipart/form-data" />
<textarea name="content">test</textarea>
file: <input id="file" type="file" name="pic" />
/ Y8 N3 S3 h" k9 l<input type="submit" value="Post" />
</form>
2 n3 p" K3 X* c, W, l, k. L去掉缩略图的前缀(small_ )
​修复方案：

9 x- K3 ]7 e7 H, |* X
9 N7 O& z/ U1 p( b  D\api\StatusesApi.class.php
  g7 C5 I! X9 N: U! W4 A! ?
! i; N, Q( K! Q# O, Efunction uploadpic(){
5 D, F0 ~& o' E) R5 N; \     /**
      * 20121018 @yelo
6 @' A1 u5 Q% T7 _! W      * 增加上传类型验证
      */
- g$ g  P2 k; a7 i# Z6 f  s     $pathinfo = pathinfo($_FILES['pic']['name']);
, u9 E! a8 B" s5 s  j0 J* C. r     $ext = $pathinfo['extension'];
5 S! n5 J) e' ` $allowExts = array('jpg', 'png', 'gif', 'jpeg');

5 V4 z5 N. ?8 u7 E3 c     $uploadCondition = $_FILES['pic'] && in_array(strtolower($ext),$allowExts,true);
1 m+ a, a, N# [* ~# W% v% b9 y
     if( $uploadCondition ){
     //执行上传操作
5 i' L) r# v8 N; Y2 L7 _     $savePath =  $this->_getSaveTempPath();
     $filename = md5( time().'teste' ).'.'.substr($_FILES['pic']['name'],strpos($_FILES['pic']['name'],'.')+1);
    if(@copy($_FILES['pic']['tmp_name'], $savePath.'/'.$filename) || @move_uploaded_file($_FILES['pic']['tmp_name'], $savePath.'/'.$filename))
       {
        $result['boolen']    = 1;
- V& B. P$ Q' j$ Y$ a        $result['type_data'] = 'temp/'.$filename;
        $result['picurl']    = SITE_PATH.'/uploads/temp/'.$filename;
       } else {
        $result['boolen']    = 0;
        $result['message']   = '上传失败';
/ s" ~' L( s! ~" z       }
# B) l! a3 W, ]/ N     }else{
/ G7 @5 b- ?. k- w  K/ t3 L# H5 A         $result['boolen']    = 0;
         $result['message']   = '上传失败';
     }
: _% R0 o' v* R- Wreturn $result;
, z9 O- S6 f" q) t% L' e" N    }
7 p* E4 ?8 k% v! r4 v​