ThinkSNS 2.8任意文件上传漏洞及修复

admin

  微博上传图片时只在前端进行验证, 服务器端没有进行安全过滤。

8 u) Q; D% C: a; r8 h4 `
6 |" c' y8 W7 N+ O+ a4 T\api\StatusesApi.class.php
* U) f' h) `( C0 G! i
0 A+ i' F( S. ^( d( g! _" {function uploadpic(){
* q+ c0 L9 `4 r' ]      if( $_FILES['pic'] ){
" Y; Z: Y: J$ P  [9 N. R' a     //执行上传操作
     $savePath =  $this->_getSaveTempPath();
% U! L) R4 a% }: p$ [     $filename = md5( time().'teste' ).'.'.substr($_FILES['pic']['name'],strpos($_FILES['pic']['name'],'.')+1);
    if(@copy($_FILES['pic']['tmp_name'], $savePath.'/'.$filename) || @move_uploaded_file($_FILES['pic']['tmp_name'], $savePath.'/'.$filename))
       {
        $result['boolen']    = 1;
' O' b5 A' |/ U' E* B        $result['type_data'] = 'temp/'.$filename;
3 [" p0 S  L6 |9 \. f: _4 g        $result['picurl']    = SITE_PATH.'/uploads/temp/'.$filename;
" |1 X" P% v, ]6 G# E3 \$ w- D) o       } else {
5 c3 U! I% M! v# H+ q1 [7 R/ L        $result['boolen']    = 0;
, S4 ~# M, t9 Q6 T, |        $result['message']   = '上传失败';
/ u+ V# L' M0 K" [8 [& N       }
     }else{
         $result['boolen']    = 0;
         $result['message']   = '上传失败';
     }
return $result;
8 R- n+ Q+ H# S$ W    }
unloadpic()方法没有对文件类型进行验证

可以构建表单, 选择任意文件, 提交到
# `$ L% w: o1 ^$ O/index.php?app=w3g&mod=Index&act=doPost
% }# p/ m3 h/ [/ T* D8 A( k
' Q, O) A8 T) [- A1 c在新提交的微博上可以找到上传的文件地址(去掉small_、middle_ 前缀)
' [, ^! t9 N2 B5 r9 P* q

. K/ A$ _+ s5 ^: k在登录thinksns官方微博后,
; ]; _( b7 _7 ~4 X1 H构建以下表单:

<form action="http://t.thinksns.com/index.php?app=w3g&mod=Index&act=doPost" method="post" enctype="multipart/form-data" />
' `% |. {$ D' [<textarea name="content">test</textarea>
file: <input id="file" type="file" name="pic" />
<input type="submit" value="Post" />
% A2 W" Y7 |/ K. b5 c) j0 x</form>
8 Y2 ]) r, g+ F4 j, b8 k去掉缩略图的前缀(small_ )
​修复方案：


* W8 L% X/ P, j7 B0 k; C7 b" M\api\StatusesApi.class.php

9 ]. l, @, b( b2 ?1 ~$ X! I' mfunction uploadpic(){
1 I3 H0 b$ _( `& L6 n, t* b     /**
      * 20121018 @yelo
1 t* x4 w# Y3 x+ J      * 增加上传类型验证
9 a7 B( c! I; V: x- |* M/ ?      */
1 @/ o" l! {4 h4 a+ ]) s     $pathinfo = pathinfo($_FILES['pic']['name']);
     $ext = $pathinfo['extension'];
# V' X' b2 J/ o7 j+ r+ w( D7 U8 a; E $allowExts = array('jpg', 'png', 'gif', 'jpeg');
9 v3 @4 |4 F) Y9 N6 y
- X6 g7 z" p2 x& a% t' C6 s     $uploadCondition = $_FILES['pic'] && in_array(strtolower($ext),$allowExts,true);

     if( $uploadCondition ){
* M8 c1 H7 u/ P) Q( Q4 z0 _     //执行上传操作
     $savePath =  $this->_getSaveTempPath();
     $filename = md5( time().'teste' ).'.'.substr($_FILES['pic']['name'],strpos($_FILES['pic']['name'],'.')+1);
    if(@copy($_FILES['pic']['tmp_name'], $savePath.'/'.$filename) || @move_uploaded_file($_FILES['pic']['tmp_name'], $savePath.'/'.$filename))
7 V7 }& q/ r& e( o' S0 T( c       {
4 n! b4 `/ {6 u, g9 P' J! {9 y  x# _1 e        $result['boolen']    = 1;
        $result['type_data'] = 'temp/'.$filename;
        $result['picurl']    = SITE_PATH.'/uploads/temp/'.$filename;
       } else {
; b; q4 K* p8 g4 h% y; a, Q2 C        $result['boolen']    = 0;
        $result['message']   = '上传失败';
* c$ A0 {% Q: ^) R       }
7 w# B, D6 h4 H' b1 m     }else{
         $result['boolen']    = 0;
         $result['message']   = '上传失败';
9 M/ A: C' D- b! E6 M     }
return $result;
' z4 V9 H& [$ k3 B  ~, i    }
& |5 s% l. D* j) j* C3 z​

, p2 |8 ~9 |  q) F" K