ThinkSNS 2.8任意文件上传漏洞及修复

admin

  微博上传图片时只在前端进行验证, 服务器端没有进行安全过滤。

4 B( y% l0 c5 g/ @* u
. W7 X- L# Z* |2 S9 n3 W\api\StatusesApi.class.php
8 e# o9 b+ C2 |  z
# p  ?* H5 X# b  pfunction uploadpic(){
      if( $_FILES['pic'] ){
     //执行上传操作
% Z  Z" m6 a7 c6 X     $savePath =  $this->_getSaveTempPath();
' Y# x6 c7 w% g! Y3 C3 u     $filename = md5( time().'teste' ).'.'.substr($_FILES['pic']['name'],strpos($_FILES['pic']['name'],'.')+1);
! |0 ]9 q3 j( F9 l: w! W    if(@copy($_FILES['pic']['tmp_name'], $savePath.'/'.$filename) || @move_uploaded_file($_FILES['pic']['tmp_name'], $savePath.'/'.$filename))
       {
        $result['boolen']    = 1;
        $result['type_data'] = 'temp/'.$filename;
        $result['picurl']    = SITE_PATH.'/uploads/temp/'.$filename;
. [  u. I8 d0 a8 f/ X% L       } else {
; K% ]4 p2 ^1 v6 ^9 j" k        $result['boolen']    = 0;
% i2 w$ v% p# ?) _1 Q        $result['message']   = '上传失败';
       }
* M" a3 p* G1 ^9 W. d  L+ J     }else{
7 P2 d' {% Y3 ^1 m9 d  a- V         $result['boolen']    = 0;
         $result['message']   = '上传失败';
     }
! [8 d, Y* C/ C. _return $result;
/ Q- S  L+ _) c5 q/ g    }
  [) {- {5 o1 m0 s4 s: D& p/ tunloadpic()方法没有对文件类型进行验证
' I, A5 p3 t* ~/ i
可以构建表单, 选择任意文件, 提交到
0 T1 S; U4 _& l/index.php?app=w3g&mod=Index&act=doPost

在新提交的微博上可以找到上传的文件地址(去掉small_、middle_ 前缀)

/ Z/ Y6 j) K* ]1 L
在登录thinksns官方微博后,
' Q' O" }8 H/ e5 X; U构建以下表单:

<form action="http://t.thinksns.com/index.php?app=w3g&mod=Index&act=doPost" method="post" enctype="multipart/form-data" />
<textarea name="content">test</textarea>
$ B7 o* p% H1 x6 W/ Kfile: <input id="file" type="file" name="pic" />
! L" _2 r: \+ q) S, u% U6 y<input type="submit" value="Post" />
</form>
去掉缩略图的前缀(small_ )
  Z# B9 r! F* s6 {, e" j3 y​修复方案：
0 T( F% e) B& W
& ]0 e0 I1 a- t
\api\StatusesApi.class.php
+ {4 A4 @. T& y2 O
function uploadpic(){
     /**
# C3 a! l) O4 Z& ?; }9 g4 L      * 20121018 @yelo
      * 增加上传类型验证
3 f9 T& E- M8 s4 C/ o  m' L      */
/ G/ a3 [4 z3 ?     $pathinfo = pathinfo($_FILES['pic']['name']);
     $ext = $pathinfo['extension'];
$allowExts = array('jpg', 'png', 'gif', 'jpeg');

% L$ S8 G& w2 _3 \5 {     $uploadCondition = $_FILES['pic'] && in_array(strtolower($ext),$allowExts,true);
" j7 ]% P) ^) a
     if( $uploadCondition ){
     //执行上传操作
     $savePath =  $this->_getSaveTempPath();
' c3 p$ c6 C  \. a1 U& j     $filename = md5( time().'teste' ).'.'.substr($_FILES['pic']['name'],strpos($_FILES['pic']['name'],'.')+1);
    if(@copy($_FILES['pic']['tmp_name'], $savePath.'/'.$filename) || @move_uploaded_file($_FILES['pic']['tmp_name'], $savePath.'/'.$filename))
       {
! ]0 y$ A" W" O- n        $result['boolen']    = 1;
4 u0 M3 ]# F1 ?$ O( V6 H: B7 u        $result['type_data'] = 'temp/'.$filename;
9 V* r6 P9 `9 q+ S. c        $result['picurl']    = SITE_PATH.'/uploads/temp/'.$filename;
7 d% A( o3 G, L       } else {
  ?8 V# t2 C& G7 ^: [. Y        $result['boolen']    = 0;
! ]9 ~, ?  M! ?& H- W0 u: i        $result['message']   = '上传失败';
       }
     }else{
; O8 P$ S: l8 Q" `0 p3 v. c# r         $result['boolen']    = 0;
3 M3 p3 L/ ?0 i5 N; a0 k$ O         $result['message']   = '上传失败';
) u! c9 |: O& O     }
return $result;
    }
& {! u$ q  ]: H( @3 l" G  j​