ThinkSNS 2.8任意文件上传漏洞及修复

admin

  微博上传图片时只在前端进行验证, 服务器端没有进行安全过滤。
( i. c& j' o& \
0 g  {  f( m/ E  C! [
\api\StatusesApi.class.php

8 p4 w* ^& P- n- d5 M0 Afunction uploadpic(){
* \, f. ^2 [3 R, V( v8 ^/ ]* G      if( $_FILES['pic'] ){
     //执行上传操作
1 e0 U$ U, N* ~7 X     $savePath =  $this->_getSaveTempPath();
     $filename = md5( time().'teste' ).'.'.substr($_FILES['pic']['name'],strpos($_FILES['pic']['name'],'.')+1);
4 _' R" _1 d/ L    if(@copy($_FILES['pic']['tmp_name'], $savePath.'/'.$filename) || @move_uploaded_file($_FILES['pic']['tmp_name'], $savePath.'/'.$filename))
, H6 y2 p/ |  c: Y: b8 @       {
        $result['boolen']    = 1;
4 Q; K9 c5 m1 {        $result['type_data'] = 'temp/'.$filename;
- F2 F  O% B! W+ Y, P8 n        $result['picurl']    = SITE_PATH.'/uploads/temp/'.$filename;
       } else {
$ G9 ^& _/ o' b9 f. i        $result['boolen']    = 0;
6 i2 s0 K4 ?; p% D0 q        $result['message']   = '上传失败';
" v' z  s1 ^4 b0 r8 g+ V! [       }
2 U- z/ Q- |& n  Y& |; q% {     }else{
4 V4 f0 l% w# u7 S) u: r! f0 ]         $result['boolen']    = 0;
         $result['message']   = '上传失败';
9 u9 s4 u" t  n0 x0 i  E     }
6 s7 `5 u4 A4 h/ V3 Y2 Greturn $result;
0 s, R* R) C/ V: O) w! j" ?5 l    }
unloadpic()方法没有对文件类型进行验证

可以构建表单, 选择任意文件, 提交到
/index.php?app=w3g&mod=Index&act=doPost

, S! Q& l6 o& r在新提交的微博上可以找到上传的文件地址(去掉small_、middle_ 前缀)
/ l: l0 I0 ?- X; f( t7 e0 Q

在登录thinksns官方微博后,
" a/ X, z, i! B5 D( X构建以下表单:
5 T4 H: o6 x' l- x+ `: h
% ~& J; V+ i: C- y' e<form action="http://t.thinksns.com/index.php?app=w3g&mod=Index&act=doPost" method="post" enctype="multipart/form-data" />
4 O9 w( s" x( N: ]8 b4 _0 f$ {+ @. Z<textarea name="content">test</textarea>
file: <input id="file" type="file" name="pic" />
<input type="submit" value="Post" />
</form>
去掉缩略图的前缀(small_ )
. e% q$ p9 X# ^8 x& @9 C) E+ s8 e​修复方案：


\api\StatusesApi.class.php
( |2 J2 i) y6 J# }" z
* k8 M3 U% S; ^' r( A: qfunction uploadpic(){
     /**
* Q' \1 ~/ h$ F3 x$ ^      * 20121018 @yelo
      * 增加上传类型验证
3 O; j5 p+ g7 R& |2 H9 r) _      */
. t, }, T1 y  V6 f: a* ^' S     $pathinfo = pathinfo($_FILES['pic']['name']);
: ~0 c& \) ~: h     $ext = $pathinfo['extension'];
/ Z* q8 X/ E% q* T# j, } $allowExts = array('jpg', 'png', 'gif', 'jpeg');
3 G6 h6 u5 f" b" a* F8 q
     $uploadCondition = $_FILES['pic'] && in_array(strtolower($ext),$allowExts,true);

     if( $uploadCondition ){
     //执行上传操作
     $savePath =  $this->_getSaveTempPath();
+ c. J; i4 @& l+ T4 w5 v1 g( o     $filename = md5( time().'teste' ).'.'.substr($_FILES['pic']['name'],strpos($_FILES['pic']['name'],'.')+1);
    if(@copy($_FILES['pic']['tmp_name'], $savePath.'/'.$filename) || @move_uploaded_file($_FILES['pic']['tmp_name'], $savePath.'/'.$filename))
       {
4 Y( h" r+ q/ C: n        $result['boolen']    = 1;
* D- K* X' }: Z& l+ z        $result['type_data'] = 'temp/'.$filename;
5 I/ I" S% h+ t" h        $result['picurl']    = SITE_PATH.'/uploads/temp/'.$filename;
! w  w( S4 d2 \; f% |  x) Z! u) m       } else {
        $result['boolen']    = 0;
        $result['message']   = '上传失败';
; G" ?- p5 |( ]% {+ v6 n       }
     }else{
: I) W& B, I  M; L( f2 E" a0 G6 |" @         $result['boolen']    = 0;
2 w+ {6 M+ d* ?# @  T3 m3 S         $result['message']   = '上传失败';
     }
return $result;
+ {  C$ y5 x* @& B9 P) E; @* v' B    }
​
6 ^+ L3 x  o: ^& N# \& E2 |/ `