ThinkSNS 2.8任意文件上传漏洞及修复

admin

  微博上传图片时只在前端进行验证, 服务器端没有进行安全过滤。
6 c+ e# \$ O7 f- E# v# y0 z) Z

, `2 \, [2 m0 m% W6 v\api\StatusesApi.class.php
; D; w& I: W- b+ g
; P; D/ n; l0 L* ?: yfunction uploadpic(){
      if( $_FILES['pic'] ){
2 V; \, u( O9 t. \: p; l, ]     //执行上传操作
     $savePath =  $this->_getSaveTempPath();
; R; ?. ]' K, @1 I6 c, v0 c% p9 a     $filename = md5( time().'teste' ).'.'.substr($_FILES['pic']['name'],strpos($_FILES['pic']['name'],'.')+1);
    if(@copy($_FILES['pic']['tmp_name'], $savePath.'/'.$filename) || @move_uploaded_file($_FILES['pic']['tmp_name'], $savePath.'/'.$filename))
       {
& I. M$ b. Q: X        $result['boolen']    = 1;
: Z% l6 ^- w8 `6 j' r! e' `        $result['type_data'] = 'temp/'.$filename;
        $result['picurl']    = SITE_PATH.'/uploads/temp/'.$filename;
3 {: s! _/ I+ u       } else {
. m/ O+ `2 l! e, t+ k        $result['boolen']    = 0;
        $result['message']   = '上传失败';
       }
) f0 |7 @+ H, j) x     }else{
         $result['boolen']    = 0;
         $result['message']   = '上传失败';
     }
/ Y  v( ~0 n* H8 Creturn $result;
    }
unloadpic()方法没有对文件类型进行验证
/ i5 `5 ^, N& a
可以构建表单, 选择任意文件, 提交到
/index.php?app=w3g&mod=Index&act=doPost
: U8 M0 V0 B, s: ~2 Z
/ \- M) S& N1 f9 w! z在新提交的微博上可以找到上传的文件地址(去掉small_、middle_ 前缀)

2 e3 s/ k* O" b/ O$ n( L" d
/ m4 P7 C) e% U2 }4 f/ a在登录thinksns官方微博后,
2 C. Y6 z8 \: ~2 b  |; m% a1 m) i/ D3 t构建以下表单:

9 S) ?3 o( Z" Y; w: r5 b<form action="http://t.thinksns.com/index.php?app=w3g&mod=Index&act=doPost" method="post" enctype="multipart/form-data" />
3 }% j2 ?% v9 R: r<textarea name="content">test</textarea>
1 L2 {0 E) j- z5 Y4 @. Lfile: <input id="file" type="file" name="pic" />
. N- N2 U1 e' I. w<input type="submit" value="Post" />
</form>
/ n9 p% Q4 }- J! ]1 M去掉缩略图的前缀(small_ )
​修复方案：
( Y! e; L9 A' F
  z9 B% h" \# u; s' ]" D, g+ G
\api\StatusesApi.class.php
  t/ w% ?5 N3 R4 Q5 H; u1 O" o
function uploadpic(){
     /**
& |0 R* f8 X6 s% O      * 20121018 @yelo
( X  P% o6 F. G$ `8 G2 c6 _& P      * 增加上传类型验证
' |& ]- E+ C1 O, j/ w      */
% a- K$ l2 x( I% Z9 J     $pathinfo = pathinfo($_FILES['pic']['name']);
4 u- j3 T2 {/ J. A0 k  L     $ext = $pathinfo['extension'];
, K$ \1 X- s) O' K' s  C $allowExts = array('jpg', 'png', 'gif', 'jpeg');

     $uploadCondition = $_FILES['pic'] && in_array(strtolower($ext),$allowExts,true);

     if( $uploadCondition ){
1 v& G3 ?( a  [     //执行上传操作
! Y" K# A3 U8 F& P4 |% U     $savePath =  $this->_getSaveTempPath();
     $filename = md5( time().'teste' ).'.'.substr($_FILES['pic']['name'],strpos($_FILES['pic']['name'],'.')+1);
    if(@copy($_FILES['pic']['tmp_name'], $savePath.'/'.$filename) || @move_uploaded_file($_FILES['pic']['tmp_name'], $savePath.'/'.$filename))
       {
        $result['boolen']    = 1;
  _. X3 [6 V; k( g  H        $result['type_data'] = 'temp/'.$filename;
% c; g, Y) H# Q        $result['picurl']    = SITE_PATH.'/uploads/temp/'.$filename;
% Q% K9 l, d/ Z6 ], p8 y) o$ k       } else {
        $result['boolen']    = 0;
        $result['message']   = '上传失败';
       }
- \& ^* B' \# @+ l: ?; \     }else{
3 @/ b- L1 D2 S* t: q- N8 k         $result['boolen']    = 0;
         $result['message']   = '上传失败';
, t! e  b# y* F" n8 k     }
2 }4 E% ?6 H8 l$ N* ^& j3 wreturn $result;
    }
​

; V0 c5 m- v& S9 d6 K; F