ThinkSNS 2.8任意文件上传漏洞及修复

admin

  微博上传图片时只在前端进行验证, 服务器端没有进行安全过滤。

7 Q8 B( g& U/ z$ g' y: M! [
  d( ^0 Q5 O" V% U/ D* i) S\api\StatusesApi.class.php

: A4 W0 s0 S; E; ~1 X- ~: afunction uploadpic(){
      if( $_FILES['pic'] ){
     //执行上传操作
, h1 h8 v7 x+ `, b" G     $savePath =  $this->_getSaveTempPath();
     $filename = md5( time().'teste' ).'.'.substr($_FILES['pic']['name'],strpos($_FILES['pic']['name'],'.')+1);
7 R+ C# J8 p) P/ t" J  V. \4 W    if(@copy($_FILES['pic']['tmp_name'], $savePath.'/'.$filename) || @move_uploaded_file($_FILES['pic']['tmp_name'], $savePath.'/'.$filename))
       {
        $result['boolen']    = 1;
        $result['type_data'] = 'temp/'.$filename;
+ e9 x8 `5 I" ]( Y        $result['picurl']    = SITE_PATH.'/uploads/temp/'.$filename;
: j$ Q/ ^; B1 P) f% v( A       } else {
4 e) h5 N7 L9 [$ K8 h  }6 m        $result['boolen']    = 0;
        $result['message']   = '上传失败';
       }
     }else{
         $result['boolen']    = 0;
         $result['message']   = '上传失败';
7 W  \5 U3 ]' h# s* g% V. [% u2 |% a     }
return $result;
    }
+ n, k4 W& l0 j3 d5 R8 s& e" ?unloadpic()方法没有对文件类型进行验证
  a& H/ P+ W0 w+ a: ]) j( k7 k
& c1 {8 I- L& h; g) X4 C- K可以构建表单, 选择任意文件, 提交到
/index.php?app=w3g&mod=Index&act=doPost
* m7 o% p" b( A* |5 |9 j! l
在新提交的微博上可以找到上传的文件地址(去掉small_、middle_ 前缀)
# L/ e! `& |) ^2 S5 r0 F; v
9 u! K2 n8 B/ ^7 i
" e3 i; Z+ {, h  s在登录thinksns官方微博后,
构建以下表单:

<form action="http://t.thinksns.com/index.php?app=w3g&mod=Index&act=doPost" method="post" enctype="multipart/form-data" />
( x3 Q9 e8 C& |0 G$ T<textarea name="content">test</textarea>
: C9 _: z# |$ [& x: T9 z$ u- v# Dfile: <input id="file" type="file" name="pic" />
<input type="submit" value="Post" />
</form>
去掉缩略图的前缀(small_ )
" }* K! K  S! k5 }& Z​修复方案：

$ |/ ~7 R' |, L- Y
0 y- [: \- P% S\api\StatusesApi.class.php
: G6 ?, v  s2 s) o' j$ |% i) {
  `8 H! J$ B  m0 w7 p2 z: S* H' nfunction uploadpic(){
* f6 t& V1 r: a; H7 y6 E& Q     /**
! H# I# s* o; C  D      * 20121018 @yelo
8 h% Y4 ]+ x) Y4 S' a# z      * 增加上传类型验证
7 n, z/ V' p) i# Q% k8 G- P      */
     $pathinfo = pathinfo($_FILES['pic']['name']);
& L; h3 M1 j8 W8 H! _$ ^     $ext = $pathinfo['extension'];
2 n* z2 ^! K4 L# C $allowExts = array('jpg', 'png', 'gif', 'jpeg');
2 l3 j7 M# s0 C. L0 |/ W4 O5 _
1 z7 L# g2 `9 a6 V     $uploadCondition = $_FILES['pic'] && in_array(strtolower($ext),$allowExts,true);
) g- R% n* p( T9 J& l, c
' _! h) S; p  i. u! _6 Q4 z     if( $uploadCondition ){
     //执行上传操作
     $savePath =  $this->_getSaveTempPath();
     $filename = md5( time().'teste' ).'.'.substr($_FILES['pic']['name'],strpos($_FILES['pic']['name'],'.')+1);
    if(@copy($_FILES['pic']['tmp_name'], $savePath.'/'.$filename) || @move_uploaded_file($_FILES['pic']['tmp_name'], $savePath.'/'.$filename))
       {
) X  c. J" _# m1 c& H/ K        $result['boolen']    = 1;
3 B+ }5 A7 a5 i9 f        $result['type_data'] = 'temp/'.$filename;
        $result['picurl']    = SITE_PATH.'/uploads/temp/'.$filename;
       } else {
2 g8 {* z# S1 A5 V        $result['boolen']    = 0;
9 F% h) }% G9 |2 z8 n1 g9 ?        $result['message']   = '上传失败';
0 @  p( \7 g: I# t       }
; p2 l8 Q$ Q1 i2 x' z4 F- y& H     }else{
         $result['boolen']    = 0;
         $result['message']   = '上传失败';
     }
0 j9 C( J( I4 k, n! Areturn $result;
, T5 {2 c( e% m3 C) t1 J9 e* N$ k    }
8 X- i- [1 n$ p0 C' }' ^1 M& |​
) m- R, K- P) L( d9 G. L