ThinkSNS 2.8任意文件上传漏洞及修复

admin

  微博上传图片时只在前端进行验证, 服务器端没有进行安全过滤。
8 ]; w$ m/ P6 C/ r9 J

$ v: b, @# b* d! U6 `\api\StatusesApi.class.php
( }9 A4 [" Y6 Y; O
function uploadpic(){
0 e4 _! s; w, i, C5 V3 }$ P' _      if( $_FILES['pic'] ){
     //执行上传操作
/ f0 `+ {0 Y' E" i* g+ N     $savePath =  $this->_getSaveTempPath();
* p. P% C$ {" U2 W- ]& K     $filename = md5( time().'teste' ).'.'.substr($_FILES['pic']['name'],strpos($_FILES['pic']['name'],'.')+1);
0 m  v% |2 }- L2 {1 S6 `3 P3 Y    if(@copy($_FILES['pic']['tmp_name'], $savePath.'/'.$filename) || @move_uploaded_file($_FILES['pic']['tmp_name'], $savePath.'/'.$filename))
" w$ d6 J% N5 t       {
6 K/ @& l2 g5 d        $result['boolen']    = 1;
5 U0 c3 e8 r2 i. U4 Y: F' C        $result['type_data'] = 'temp/'.$filename;
        $result['picurl']    = SITE_PATH.'/uploads/temp/'.$filename;
; b4 C7 y" Y: P* z: K. L/ q5 C       } else {
        $result['boolen']    = 0;
  y" l' }$ I3 q  b0 k3 {" j        $result['message']   = '上传失败';
       }
" @8 v9 b2 d! z4 s1 b. L) @5 V     }else{
- `9 V0 E4 ]' F1 R5 L- o         $result['boolen']    = 0;
% A6 n% h) ~9 L  v7 Z9 L         $result['message']   = '上传失败';
+ z7 ~4 i8 A3 Q" h( W3 P. w0 N' S     }
2 [6 U, \, ^9 R( ?: T; N  Rreturn $result;
, g! F+ y- _. I+ t  D* [9 _    }
4 v  T& V3 e5 I% L6 Dunloadpic()方法没有对文件类型进行验证

/ a) g8 g) A+ R% E1 G/ i! ?7 N可以构建表单, 选择任意文件, 提交到
3 F9 |' t- c( v! y/index.php?app=w3g&mod=Index&act=doPost

在新提交的微博上可以找到上传的文件地址(去掉small_、middle_ 前缀)
( {4 f. I# d( x- D7 h" |: ?

在登录thinksns官方微博后,
6 p1 ~7 F9 k; E! b: i' ~构建以下表单:

<form action="http://t.thinksns.com/index.php?app=w3g&mod=Index&act=doPost" method="post" enctype="multipart/form-data" />
% d+ ^& Q+ ]( s* H1 h' c4 I4 e<textarea name="content">test</textarea>
file: <input id="file" type="file" name="pic" />
& G5 h$ @; D5 Z3 }<input type="submit" value="Post" />
0 a; T, m  J, u7 {</form>
去掉缩略图的前缀(small_ )
3 ~+ s8 i# q1 s2 I7 s+ A7 T0 U​修复方案：


\api\StatusesApi.class.php
7 B8 a' `0 h$ H# b$ q
function uploadpic(){
     /**
      * 20121018 @yelo
8 x. ]9 s  h6 y$ V) k( W, {1 ]      * 增加上传类型验证
      */
     $pathinfo = pathinfo($_FILES['pic']['name']);
     $ext = $pathinfo['extension'];
$allowExts = array('jpg', 'png', 'gif', 'jpeg');

     $uploadCondition = $_FILES['pic'] && in_array(strtolower($ext),$allowExts,true);

     if( $uploadCondition ){
' I" b! H; g4 ^* P( Z     //执行上传操作
& r0 P& h+ g) g( k: F9 e* o2 @     $savePath =  $this->_getSaveTempPath();
     $filename = md5( time().'teste' ).'.'.substr($_FILES['pic']['name'],strpos($_FILES['pic']['name'],'.')+1);
    if(@copy($_FILES['pic']['tmp_name'], $savePath.'/'.$filename) || @move_uploaded_file($_FILES['pic']['tmp_name'], $savePath.'/'.$filename))
       {
        $result['boolen']    = 1;
        $result['type_data'] = 'temp/'.$filename;
- o3 _3 f) @2 \/ j# v$ D        $result['picurl']    = SITE_PATH.'/uploads/temp/'.$filename;
6 a/ k, r& z! o, b  |; a9 A       } else {
        $result['boolen']    = 0;
" ^- ?) @: ?1 O; G: x, v) s        $result['message']   = '上传失败';
* i/ @) j7 m5 [8 \: P0 |6 ?       }
5 j4 @. r; @4 r4 _$ n& m7 Q     }else{
         $result['boolen']    = 0;
         $result['message']   = '上传失败';
* V" p' Y7 z9 X3 N  B) O     }
return $result;
    }
/ x% b4 W. {. ~% ~  B( }7 R% a​
* O0 Q, `' O8 h+ h0 I" l8 a% J
  s( B4 q. J4 ]9 L2 S" _% F