ThinkSNS 2.8任意文件上传漏洞及修复

admin

  微博上传图片时只在前端进行验证, 服务器端没有进行安全过滤。
, N* k+ j: i. ^

\api\StatusesApi.class.php

( y( O9 U% q' {3 A8 l% ?( l" s& ofunction uploadpic(){
0 u7 T/ o* z9 b      if( $_FILES['pic'] ){
     //执行上传操作
, p' ?1 t6 _9 s+ V4 u; X7 {     $savePath =  $this->_getSaveTempPath();
     $filename = md5( time().'teste' ).'.'.substr($_FILES['pic']['name'],strpos($_FILES['pic']['name'],'.')+1);
8 n  J* g# J# e+ c- S    if(@copy($_FILES['pic']['tmp_name'], $savePath.'/'.$filename) || @move_uploaded_file($_FILES['pic']['tmp_name'], $savePath.'/'.$filename))
2 h! ]. u; ~2 V2 h- E7 ]: D2 j, `       {
        $result['boolen']    = 1;
        $result['type_data'] = 'temp/'.$filename;
        $result['picurl']    = SITE_PATH.'/uploads/temp/'.$filename;
8 O8 d5 T5 d" P2 [* s5 F) K7 Z       } else {
        $result['boolen']    = 0;
        $result['message']   = '上传失败';
8 y1 P2 ^  N# S, Y) R4 O- i       }
4 d- s" J3 _6 z3 u: A+ t, H     }else{
. J4 b- V0 n; U# N         $result['boolen']    = 0;
         $result['message']   = '上传失败';
     }
) m( T& `( _& g, creturn $result;
; ?1 t" k- @" G/ c2 S' y9 r& E8 w    }
unloadpic()方法没有对文件类型进行验证

% o) t0 ]% Z+ `& e. m可以构建表单, 选择任意文件, 提交到
/index.php?app=w3g&mod=Index&act=doPost

0 S5 I! x. f3 }: q0 C在新提交的微博上可以找到上传的文件地址(去掉small_、middle_ 前缀)
/ G8 j; |& F1 S% l
! f  G( A- Q+ [$ Z, E
在登录thinksns官方微博后,
( N( w* V) p" h% p构建以下表单:
6 E2 y$ p- E" l. \/ y6 B
& C9 v) w+ o, K<form action="http://t.thinksns.com/index.php?app=w3g&mod=Index&act=doPost" method="post" enctype="multipart/form-data" />
<textarea name="content">test</textarea>
file: <input id="file" type="file" name="pic" />
1 P+ E1 J6 }5 C& K<input type="submit" value="Post" />
</form>
去掉缩略图的前缀(small_ )
​修复方案：
" o3 i  ]: J1 U& ?

\api\StatusesApi.class.php
1 U+ Q3 |# q5 D% q
* \& o" A( s* jfunction uploadpic(){
2 T! Y! e  |4 e: Q" O     /**
6 C, F6 u$ [" z; \" D      * 20121018 @yelo
      * 增加上传类型验证
/ U" I2 b" i( z& ^- I+ W      */
     $pathinfo = pathinfo($_FILES['pic']['name']);
     $ext = $pathinfo['extension'];
$allowExts = array('jpg', 'png', 'gif', 'jpeg');
7 l9 ~, g& `  u; r4 R5 s9 \. b
     $uploadCondition = $_FILES['pic'] && in_array(strtolower($ext),$allowExts,true);

     if( $uploadCondition ){
     //执行上传操作
     $savePath =  $this->_getSaveTempPath();
5 s' v: a, ^$ w) ~; B     $filename = md5( time().'teste' ).'.'.substr($_FILES['pic']['name'],strpos($_FILES['pic']['name'],'.')+1);
    if(@copy($_FILES['pic']['tmp_name'], $savePath.'/'.$filename) || @move_uploaded_file($_FILES['pic']['tmp_name'], $savePath.'/'.$filename))
8 e& H" F3 c/ R6 D* j* M       {
2 L. ]' p/ ]1 ]6 v9 A: F        $result['boolen']    = 1;
        $result['type_data'] = 'temp/'.$filename;
* O: C' c2 r% t+ d        $result['picurl']    = SITE_PATH.'/uploads/temp/'.$filename;
       } else {
        $result['boolen']    = 0;
        $result['message']   = '上传失败';
       }
     }else{
" |: A8 P6 A' D1 [( C         $result['boolen']    = 0;
( f  U  s" F; R' S" J8 u         $result['message']   = '上传失败';
     }
return $result;
% z, ?: s8 \* H, e    }
- z" A! v, k! o+ l​