ThinkSNS 2.8任意文件上传漏洞及修复

admin

  微博上传图片时只在前端进行验证, 服务器端没有进行安全过滤。
, o: n4 S! R) q+ a  i! \4 u5 h3 O

\api\StatusesApi.class.php
+ i3 o5 Z+ I) f! W5 S" k
function uploadpic(){
      if( $_FILES['pic'] ){
     //执行上传操作
9 W8 F. e4 T% \& C! Q     $savePath =  $this->_getSaveTempPath();
9 W, G" c4 u! |  ~; I9 A5 L     $filename = md5( time().'teste' ).'.'.substr($_FILES['pic']['name'],strpos($_FILES['pic']['name'],'.')+1);
- i3 z6 U9 Y2 K- I, {    if(@copy($_FILES['pic']['tmp_name'], $savePath.'/'.$filename) || @move_uploaded_file($_FILES['pic']['tmp_name'], $savePath.'/'.$filename))
       {
* L9 [) q7 `$ R( ^( }        $result['boolen']    = 1;
        $result['type_data'] = 'temp/'.$filename;
        $result['picurl']    = SITE_PATH.'/uploads/temp/'.$filename;
       } else {
# V$ H8 c! B. m" o. K: Q        $result['boolen']    = 0;
% W  d1 x5 n1 E! T/ D+ R" D        $result['message']   = '上传失败';
       }
. z0 O+ F* ~1 w. @2 d     }else{
         $result['boolen']    = 0;
0 c- K" k& u6 A( z' ]8 C* D" ~         $result['message']   = '上传失败';
! _5 y( Z9 S) G' r1 q3 H. T     }
; y( G, L( p1 l) W# ~return $result;
    }
+ _; k( m. ^0 M. [unloadpic()方法没有对文件类型进行验证

" L3 W  [" m& p+ o可以构建表单, 选择任意文件, 提交到
: U1 |. `  f/ e; m" _& p% t/index.php?app=w3g&mod=Index&act=doPost
4 w4 c+ _3 w0 h# b4 h
5 @7 h1 p% Q) b5 b/ c9 `. L$ a在新提交的微博上可以找到上传的文件地址(去掉small_、middle_ 前缀)
% G) ?9 \2 U1 k: u: {+ ]% \
7 [8 Z: y, Q& i" L/ p
在登录thinksns官方微博后,
构建以下表单:

- F7 J! C. |7 }, v. D" g<form action="http://t.thinksns.com/index.php?app=w3g&mod=Index&act=doPost" method="post" enctype="multipart/form-data" />
<textarea name="content">test</textarea>
file: <input id="file" type="file" name="pic" />
<input type="submit" value="Post" />
</form>
去掉缩略图的前缀(small_ )
​修复方案：

$ z3 g5 T4 d% V/ D) H4 y
\api\StatusesApi.class.php
9 _8 ^- M' b3 N+ T9 V& ^2 l
function uploadpic(){
% A) v8 D3 Q" V0 n, P4 {* ], [. z     /**
      * 20121018 @yelo
# {% g7 _; P/ b4 ]. ~      * 增加上传类型验证
. w/ q" i5 o/ R      */
8 ^. M( O, Y6 d& ^     $pathinfo = pathinfo($_FILES['pic']['name']);
% f2 a1 {8 b! _6 W     $ext = $pathinfo['extension'];
2 a! M( s8 F2 j& J( q; i  U $allowExts = array('jpg', 'png', 'gif', 'jpeg');
" D1 E- z  s/ R# P! E$ V
& }; s$ M; ~. U$ C     $uploadCondition = $_FILES['pic'] && in_array(strtolower($ext),$allowExts,true);
4 V8 z* K4 q7 e* k. ]
5 ~& y. D# l% ^2 p; N% O     if( $uploadCondition ){
     //执行上传操作
9 i  Q: ?. k5 \+ X1 @: c" ~0 Y     $savePath =  $this->_getSaveTempPath();
: i7 _/ f5 t4 }" I, Z" j8 R     $filename = md5( time().'teste' ).'.'.substr($_FILES['pic']['name'],strpos($_FILES['pic']['name'],'.')+1);
    if(@copy($_FILES['pic']['tmp_name'], $savePath.'/'.$filename) || @move_uploaded_file($_FILES['pic']['tmp_name'], $savePath.'/'.$filename))
       {
6 y% s" u+ O* B  F" r& g        $result['boolen']    = 1;
        $result['type_data'] = 'temp/'.$filename;
$ w/ m! d) c, l  s# }: b, L& Y        $result['picurl']    = SITE_PATH.'/uploads/temp/'.$filename;
       } else {
        $result['boolen']    = 0;
5 n" u% ~) S0 R& k) M% N        $result['message']   = '上传失败';
       }
8 G- p" N1 Q2 O' f' k, _     }else{
         $result['boolen']    = 0;
         $result['message']   = '上传失败';
     }
return $result;
2 y, a: b: [# V3 b) G7 p( Y    }
​
: ^: |& [1 c+ a, x$ Y+ C
' J' P5 q" z1 s+ ~  ~  v- T