ThinkSNS 2.8任意文件上传漏洞及修复

admin

  微博上传图片时只在前端进行验证, 服务器端没有进行安全过滤。
* k, V4 m" N, ]4 {: M
' O' k7 U  D" L! Q
2 p, b7 S" o2 I$ L% X, O\api\StatusesApi.class.php

: Q" o1 o- M- I) |# I4 Sfunction uploadpic(){
      if( $_FILES['pic'] ){
  I- P* l4 @1 I1 o; w: F     //执行上传操作
7 j6 d/ ^$ w7 B: }5 i     $savePath =  $this->_getSaveTempPath();
* n8 J7 v3 X$ P& g' p8 L     $filename = md5( time().'teste' ).'.'.substr($_FILES['pic']['name'],strpos($_FILES['pic']['name'],'.')+1);
; P  N& b, Y# H0 `! m    if(@copy($_FILES['pic']['tmp_name'], $savePath.'/'.$filename) || @move_uploaded_file($_FILES['pic']['tmp_name'], $savePath.'/'.$filename))
) l+ J. x, [2 t7 X0 C       {
        $result['boolen']    = 1;
        $result['type_data'] = 'temp/'.$filename;
1 P# m7 u8 W# v! [        $result['picurl']    = SITE_PATH.'/uploads/temp/'.$filename;
       } else {
2 _/ Q( T" y$ A% G, x9 S        $result['boolen']    = 0;
$ C0 F8 g2 H0 e* @3 M; P        $result['message']   = '上传失败';
4 p$ f' y, F! S1 d6 ?, w( y       }
& Z" s% ]0 R- Q; T6 y& n6 K     }else{
         $result['boolen']    = 0;
8 D$ b$ P8 M/ g" K" s$ r# C         $result['message']   = '上传失败';
  N& L* H6 ?+ X9 \     }
7 h4 x6 M9 x$ b" mreturn $result;
    }
unloadpic()方法没有对文件类型进行验证

可以构建表单, 选择任意文件, 提交到
8 u! ]- [4 \+ Z/index.php?app=w3g&mod=Index&act=doPost
; @+ Y0 H! O4 [$ B0 a. x7 H
$ r% g, b+ d$ K. q在新提交的微博上可以找到上传的文件地址(去掉small_、middle_ 前缀)


6 W  G7 g: h5 V+ [2 y' T. t0 U在登录thinksns官方微博后,
构建以下表单:

<form action="http://t.thinksns.com/index.php?app=w3g&mod=Index&act=doPost" method="post" enctype="multipart/form-data" />
<textarea name="content">test</textarea>
3 }, C3 [% G2 p& K8 ofile: <input id="file" type="file" name="pic" />
7 n: Q- T8 A2 u- m* J<input type="submit" value="Post" />
</form>
3 C5 |1 R9 h4 q3 o& [$ X去掉缩略图的前缀(small_ )
​修复方案：

; V: ~5 S0 v; ]9 b: Y* f9 l
\api\StatusesApi.class.php

function uploadpic(){
     /**
      * 20121018 @yelo
1 }, P/ `0 D( F- z5 W      * 增加上传类型验证
      */
     $pathinfo = pathinfo($_FILES['pic']['name']);
     $ext = $pathinfo['extension'];
$allowExts = array('jpg', 'png', 'gif', 'jpeg');
2 n* G" F1 F& z' t9 y
     $uploadCondition = $_FILES['pic'] && in_array(strtolower($ext),$allowExts,true);
# e) g: x  M5 y$ G2 }  k
6 f7 E1 I- I3 v, K     if( $uploadCondition ){
     //执行上传操作
5 J# w. ?1 y3 o- W/ ^, F$ q9 k  h     $savePath =  $this->_getSaveTempPath();
: V' M3 e5 U4 H/ z7 \+ C     $filename = md5( time().'teste' ).'.'.substr($_FILES['pic']['name'],strpos($_FILES['pic']['name'],'.')+1);
    if(@copy($_FILES['pic']['tmp_name'], $savePath.'/'.$filename) || @move_uploaded_file($_FILES['pic']['tmp_name'], $savePath.'/'.$filename))
       {
; w7 w1 W0 o5 B8 y( j1 X9 b1 S        $result['boolen']    = 1;
; K4 H4 [# z% r5 }' B8 F/ P# H        $result['type_data'] = 'temp/'.$filename;
9 w9 R* O! u' A5 [3 Y4 t0 R        $result['picurl']    = SITE_PATH.'/uploads/temp/'.$filename;
* P" r5 E* e- f& r2 m       } else {
        $result['boolen']    = 0;
, U8 B$ T3 M; h        $result['message']   = '上传失败';
2 f, w, U2 t5 u3 }! i8 i% u       }
     }else{
- a$ B/ |/ C( g7 u3 Z         $result['boolen']    = 0;
         $result['message']   = '上传失败';
$ F7 O; w" V3 n8 R     }
: ^" f* A. q% |1 Z2 G# Ureturn $result;
    }
​

# G0 t- ]+ I" V1 V0 O