ThinkSNS 2.8任意文件上传漏洞及修复

admin

  微博上传图片时只在前端进行验证, 服务器端没有进行安全过滤。

% G8 c4 L& v% R) h  U4 J9 h# C
9 `! q4 C* J/ Y( H8 A\api\StatusesApi.class.php

5 p( y; n: [# i$ Mfunction uploadpic(){
+ j7 Y# g+ h& j5 f- m$ X      if( $_FILES['pic'] ){
     //执行上传操作
0 D% ^" P3 q5 s* h/ }     $savePath =  $this->_getSaveTempPath();
     $filename = md5( time().'teste' ).'.'.substr($_FILES['pic']['name'],strpos($_FILES['pic']['name'],'.')+1);
    if(@copy($_FILES['pic']['tmp_name'], $savePath.'/'.$filename) || @move_uploaded_file($_FILES['pic']['tmp_name'], $savePath.'/'.$filename))
       {
        $result['boolen']    = 1;
2 u/ E# X$ d9 T. G! l        $result['type_data'] = 'temp/'.$filename;
        $result['picurl']    = SITE_PATH.'/uploads/temp/'.$filename;
       } else {
        $result['boolen']    = 0;
& ]" r# W/ M7 s: a$ {        $result['message']   = '上传失败';
       }
     }else{
' }; E* z! [2 X- j5 Z         $result['boolen']    = 0;
. b. H" D4 B: c         $result['message']   = '上传失败';
     }
return $result;
! t. U% [1 y" h/ Q& `    }
unloadpic()方法没有对文件类型进行验证

可以构建表单, 选择任意文件, 提交到
7 a  t# p+ q& r! q/index.php?app=w3g&mod=Index&act=doPost
) z6 k3 Y; L4 q, R2 y$ d% V' S: u
- ?  U. C- g$ I( o, K& x. F在新提交的微博上可以找到上传的文件地址(去掉small_、middle_ 前缀)
3 A' Z  Z( y! r7 E! n
) b( B" ~& _; S$ x7 c' h
在登录thinksns官方微博后,
构建以下表单:

9 j4 a: ^0 P2 e$ S5 I<form action="http://t.thinksns.com/index.php?app=w3g&mod=Index&act=doPost" method="post" enctype="multipart/form-data" />
- S' y. W& ~" Y' B4 S" d<textarea name="content">test</textarea>
file: <input id="file" type="file" name="pic" />
: B& y" r' Q; w; \8 q<input type="submit" value="Post" />
* s% l9 [# U: i" V+ T% r% C& a</form>
* m$ G, c( ~) k3 a+ m去掉缩略图的前缀(small_ )
) Y) q$ K1 c! D+ r& I5 n) X+ p​修复方案：

* n7 n4 {6 j& n$ F
\api\StatusesApi.class.php

function uploadpic(){
     /**
7 I  R# T. W7 g      * 20121018 @yelo
      * 增加上传类型验证
9 k- w! _( b* @9 E, z, L! j. V      */
2 L4 Q1 `& k3 n# |     $pathinfo = pathinfo($_FILES['pic']['name']);
" Y6 h, x; [" b( R/ Q/ Q6 Z     $ext = $pathinfo['extension'];
& f& u& r) L4 S6 o9 b $allowExts = array('jpg', 'png', 'gif', 'jpeg');

     $uploadCondition = $_FILES['pic'] && in_array(strtolower($ext),$allowExts,true);

; K; I0 Z( u, L4 }/ A3 |% F( ]" d: n     if( $uploadCondition ){
     //执行上传操作
3 ^; \+ z, \* e' D. L5 w/ c     $savePath =  $this->_getSaveTempPath();
     $filename = md5( time().'teste' ).'.'.substr($_FILES['pic']['name'],strpos($_FILES['pic']['name'],'.')+1);
- P( {5 L3 ^8 h$ v& c9 r) L7 g    if(@copy($_FILES['pic']['tmp_name'], $savePath.'/'.$filename) || @move_uploaded_file($_FILES['pic']['tmp_name'], $savePath.'/'.$filename))
1 }4 h4 V& U3 C: j/ ^; Y       {
& z+ v( L- O  ^0 `        $result['boolen']    = 1;
/ p0 v. s4 L! Q2 ^1 E        $result['type_data'] = 'temp/'.$filename;
        $result['picurl']    = SITE_PATH.'/uploads/temp/'.$filename;
       } else {
        $result['boolen']    = 0;
/ C5 g1 k, G; W        $result['message']   = '上传失败';
5 J* k( A/ t% r       }
. q$ [8 c- j* u     }else{
5 \8 f: P: X8 M5 q' x' n. l         $result['boolen']    = 0;
         $result['message']   = '上传失败';
% s0 w- X7 g+ g2 |0 B: _. B- c     }
$ I! d. [) c6 f0 O3 _! qreturn $result;
8 X/ u# p. j: L5 F" |7 M. @6 c    }
1 p/ \, I7 A' b3 a* Y​

* w: j4 a' C4 p0 A1 F