ThinkSNS 2.8任意文件上传漏洞及修复

admin

  微博上传图片时只在前端进行验证, 服务器端没有进行安全过滤。
7 g2 U- V. ^  C$ K* [
- Q+ |7 X0 {$ F" O
( }6 C/ H6 x" g; u9 i) w0 E\api\StatusesApi.class.php
  _$ m+ ~5 P; x$ Q
function uploadpic(){
$ d3 y  z& v- H# q      if( $_FILES['pic'] ){
" S0 {3 X4 c9 [4 E9 E4 z! l     //执行上传操作
  c1 Y; e* f8 ]; U$ q  m# l1 e     $savePath =  $this->_getSaveTempPath();
# b! Z+ I3 d. W. C8 I4 A) B7 r     $filename = md5( time().'teste' ).'.'.substr($_FILES['pic']['name'],strpos($_FILES['pic']['name'],'.')+1);
    if(@copy($_FILES['pic']['tmp_name'], $savePath.'/'.$filename) || @move_uploaded_file($_FILES['pic']['tmp_name'], $savePath.'/'.$filename))
1 }9 l$ X% l8 E       {
        $result['boolen']    = 1;
+ y8 S; q& B  ^; o% v( j8 `' k        $result['type_data'] = 'temp/'.$filename;
        $result['picurl']    = SITE_PATH.'/uploads/temp/'.$filename;
2 A( g  J; D& l/ p       } else {
4 x( n1 ?; c/ n$ U        $result['boolen']    = 0;
+ ~$ p0 o9 u) J' m' d5 E        $result['message']   = '上传失败';
       }
     }else{
         $result['boolen']    = 0;
         $result['message']   = '上传失败';
2 @6 H3 r5 l1 d) J& x. D     }
2 z! S& F2 \. m1 v8 {- Qreturn $result;
    }
. d* R; g# ^1 N$ }  ~) b" F* tunloadpic()方法没有对文件类型进行验证
+ \# `. a4 v- e( w% U
可以构建表单, 选择任意文件, 提交到
/index.php?app=w3g&mod=Index&act=doPost
; Y7 w, B. E- p/ @* b0 T
在新提交的微博上可以找到上传的文件地址(去掉small_、middle_ 前缀)


* |# N4 W$ P/ c5 F- C2 k在登录thinksns官方微博后,
4 K) X7 K$ [" U% z) x构建以下表单:
. T0 F0 B9 l9 J; d3 u
6 j: v. x" F  V$ w% N& y% O<form action="http://t.thinksns.com/index.php?app=w3g&mod=Index&act=doPost" method="post" enctype="multipart/form-data" />
<textarea name="content">test</textarea>
file: <input id="file" type="file" name="pic" />
<input type="submit" value="Post" />
</form>
去掉缩略图的前缀(small_ )
; E) U/ H9 m6 z6 [: x" n0 t​修复方案：

' r& u. V: J; k& n, j& p3 g3 a
$ a4 ?, b7 X. V* B\api\StatusesApi.class.php
* N6 V4 n7 J6 i' q; ^# S9 M
  w2 ?" O7 t' C  D" nfunction uploadpic(){
     /**
' q% [+ R+ Z6 S/ p" D3 M' Y      * 20121018 @yelo
( a5 ]% |: D# r; K      * 增加上传类型验证
+ w9 u& Y) e0 W% t& e( [      */
     $pathinfo = pathinfo($_FILES['pic']['name']);
" R$ l, Y2 M. }  }" L$ T+ N4 E8 K     $ext = $pathinfo['extension'];
$allowExts = array('jpg', 'png', 'gif', 'jpeg');
$ ]& |2 e- @5 P, s* B" r/ M
     $uploadCondition = $_FILES['pic'] && in_array(strtolower($ext),$allowExts,true);

     if( $uploadCondition ){
- _+ k7 W6 [! p' ]: [/ a     //执行上传操作
     $savePath =  $this->_getSaveTempPath();
     $filename = md5( time().'teste' ).'.'.substr($_FILES['pic']['name'],strpos($_FILES['pic']['name'],'.')+1);
    if(@copy($_FILES['pic']['tmp_name'], $savePath.'/'.$filename) || @move_uploaded_file($_FILES['pic']['tmp_name'], $savePath.'/'.$filename))
# U, `# _" i8 ?/ b3 h1 H       {
7 t% Z& i. \, Z) s" l/ B6 J        $result['boolen']    = 1;
        $result['type_data'] = 'temp/'.$filename;
4 R5 G% ]  U. B! B; y6 f6 W/ K        $result['picurl']    = SITE_PATH.'/uploads/temp/'.$filename;
       } else {
        $result['boolen']    = 0;
        $result['message']   = '上传失败';
5 ~- i( p# P1 {% `5 W2 I6 r       }
     }else{
( F; h; m# L' s( N         $result['boolen']    = 0;
: Q- c8 x- d3 _$ K' l         $result['message']   = '上传失败';
     }
3 B& _; \! v8 `return $result;
    }
8 L( h0 [0 ?) Q! I3 E​