ThinkSNS 2.8任意文件上传漏洞及修复

admin

  微博上传图片时只在前端进行验证, 服务器端没有进行安全过滤。
( u% a' W+ ]( q+ K4 d7 S+ {
) `) N4 R0 [; T  G$ L
\api\StatusesApi.class.php

! \* Q, S: w; d- `/ L* |function uploadpic(){
      if( $_FILES['pic'] ){
     //执行上传操作
( ]( |4 a8 {1 C9 j4 U# f     $savePath =  $this->_getSaveTempPath();
     $filename = md5( time().'teste' ).'.'.substr($_FILES['pic']['name'],strpos($_FILES['pic']['name'],'.')+1);
    if(@copy($_FILES['pic']['tmp_name'], $savePath.'/'.$filename) || @move_uploaded_file($_FILES['pic']['tmp_name'], $savePath.'/'.$filename))
0 S+ u8 o- E" p7 A3 P# Y+ p, x+ z       {
6 M4 P& J4 e+ n8 ]) M4 ]        $result['boolen']    = 1;
4 e$ t7 Y. T- y( ^6 i" D        $result['type_data'] = 'temp/'.$filename;
        $result['picurl']    = SITE_PATH.'/uploads/temp/'.$filename;
       } else {
        $result['boolen']    = 0;
4 n% l# }8 ?$ a( v* x* @7 X1 X        $result['message']   = '上传失败';
       }
: o5 v* m* x9 o# n" j3 T$ o5 Z     }else{
! s6 R1 m, I; N1 |' L# k         $result['boolen']    = 0;
         $result['message']   = '上传失败';
# ?) I+ T+ B# @2 m7 O1 I! h2 o     }
return $result;
6 Z8 `' {' I7 T! D8 I    }
  Y1 K8 f4 d5 [" E5 e. l) P1 bunloadpic()方法没有对文件类型进行验证

可以构建表单, 选择任意文件, 提交到
1 h/ [4 K5 ]! [9 ]$ T' T+ O7 T8 {/index.php?app=w3g&mod=Index&act=doPost

在新提交的微博上可以找到上传的文件地址(去掉small_、middle_ 前缀)
- B. G$ }, J% ~+ ]  @

: [7 p0 E/ Z6 h, R在登录thinksns官方微博后,
构建以下表单:
8 l! x4 t! i( y3 d1 t
8 q% W" P* t9 ?% c: N# J5 L<form action="http://t.thinksns.com/index.php?app=w3g&mod=Index&act=doPost" method="post" enctype="multipart/form-data" />
<textarea name="content">test</textarea>
, a& C) q8 F  `. Jfile: <input id="file" type="file" name="pic" />
, C  F! j, N/ |1 b9 h1 ?" ^<input type="submit" value="Post" />
$ I( L) Q7 n/ k$ e7 U</form>
去掉缩略图的前缀(small_ )
$ n2 V9 j$ p/ l​修复方案：

3 Z; `- X* o8 d
\api\StatusesApi.class.php
2 r4 y/ N$ [1 c0 J" w- c% @3 @
0 j3 X: X; a7 v( A  U3 X- hfunction uploadpic(){
% P& Z% m+ v/ n7 z! \3 [5 x  l     /**
4 z+ n0 p# u  Y" C      * 20121018 @yelo
      * 增加上传类型验证
      */
  M% _8 v" b8 I& V: H, |     $pathinfo = pathinfo($_FILES['pic']['name']);
     $ext = $pathinfo['extension'];
$allowExts = array('jpg', 'png', 'gif', 'jpeg');
7 D, Y5 @1 g  B  C( c+ ^  i' Q6 t
3 \5 U5 |( Q8 F2 ^7 E' O; E     $uploadCondition = $_FILES['pic'] && in_array(strtolower($ext),$allowExts,true);

# }) o3 P+ x' I7 r     if( $uploadCondition ){
     //执行上传操作
6 ]. M, k5 B7 R' u     $savePath =  $this->_getSaveTempPath();
' h3 V. }, ]. E, _* A3 @7 D2 T     $filename = md5( time().'teste' ).'.'.substr($_FILES['pic']['name'],strpos($_FILES['pic']['name'],'.')+1);
% y8 X% F! g/ s; a2 u4 A- [8 b    if(@copy($_FILES['pic']['tmp_name'], $savePath.'/'.$filename) || @move_uploaded_file($_FILES['pic']['tmp_name'], $savePath.'/'.$filename))
       {
        $result['boolen']    = 1;
$ R; m2 w0 K9 C+ z        $result['type_data'] = 'temp/'.$filename;
        $result['picurl']    = SITE_PATH.'/uploads/temp/'.$filename;
       } else {
" ?: M7 s3 U7 k- l$ i& x+ d        $result['boolen']    = 0;
        $result['message']   = '上传失败';
+ n) n( I0 }0 E* _/ X% h7 n0 M4 t       }
     }else{
         $result['boolen']    = 0;
: P% O* Q' j. {! b" V/ N         $result['message']   = '上传失败';
) m6 S! g6 r# n. I9 [     }
return $result;
    }
​
  X+ d, T( A! D6 S+ v4 H