ThinkSNS 2.8任意文件上传漏洞及修复

admin

  微博上传图片时只在前端进行验证, 服务器端没有进行安全过滤。


\api\StatusesApi.class.php
$ X2 X2 z  l$ s9 f; b
function uploadpic(){
$ _: @5 n4 `* k. s6 p& U      if( $_FILES['pic'] ){
! P3 m4 _/ o5 G: C1 C9 o. H     //执行上传操作
0 k$ P  z  d7 p     $savePath =  $this->_getSaveTempPath();
% b/ m2 y- g  O% K9 H     $filename = md5( time().'teste' ).'.'.substr($_FILES['pic']['name'],strpos($_FILES['pic']['name'],'.')+1);
    if(@copy($_FILES['pic']['tmp_name'], $savePath.'/'.$filename) || @move_uploaded_file($_FILES['pic']['tmp_name'], $savePath.'/'.$filename))
       {
        $result['boolen']    = 1;
/ f$ E" y$ R8 e) k) P        $result['type_data'] = 'temp/'.$filename;
& I  [" z2 e) O$ |' H. Z% x# X        $result['picurl']    = SITE_PATH.'/uploads/temp/'.$filename;
       } else {
        $result['boolen']    = 0;
7 c; u" t( W4 d4 z" n2 @/ Z        $result['message']   = '上传失败';
       }
6 b2 y" ~$ `5 R$ r     }else{
         $result['boolen']    = 0;
0 h5 p( q6 [  X3 U0 V         $result['message']   = '上传失败';
9 ?+ n# |' U$ K  m; T& l6 s* g     }
. f# g) F+ T  i& v( ?- u& |return $result;
    }
unloadpic()方法没有对文件类型进行验证
& y  H9 e: [" ]5 ?' Y- w
2 K! b- t1 @5 j" U' z/ I可以构建表单, 选择任意文件, 提交到
/index.php?app=w3g&mod=Index&act=doPost
3 f: T6 Z& h5 K3 J( i+ ^
在新提交的微博上可以找到上传的文件地址(去掉small_、middle_ 前缀)
: V* g6 K! d3 a" `/ Z! y( i
/ z0 m5 }' _' n: n5 l
在登录thinksns官方微博后,
0 B7 l# x  v- X- P* Q1 x/ s构建以下表单:
, J( U1 u. J# {+ ?
<form action="http://t.thinksns.com/index.php?app=w3g&mod=Index&act=doPost" method="post" enctype="multipart/form-data" />
<textarea name="content">test</textarea>
* L  L, v: t! J% |; c4 U& Tfile: <input id="file" type="file" name="pic" />
! q$ m" b/ N% i! o. N/ E, k<input type="submit" value="Post" />
</form>
- V1 {3 p5 W! Z$ e' y去掉缩略图的前缀(small_ )
& D8 Y; M, }8 ^6 a& c- h* p4 z​修复方案：
( K* A  M! ]; |& x% }; F2 H

\api\StatusesApi.class.php

+ F5 C$ J9 I6 l2 @4 ?function uploadpic(){
     /**
1 T9 W. ]+ y; P9 {1 g, e: Z      * 20121018 @yelo
      * 增加上传类型验证
      */
     $pathinfo = pathinfo($_FILES['pic']['name']);
     $ext = $pathinfo['extension'];
' V' |$ b  G1 n( o& J* F $allowExts = array('jpg', 'png', 'gif', 'jpeg');

* [7 M& `$ U1 I0 E     $uploadCondition = $_FILES['pic'] && in_array(strtolower($ext),$allowExts,true);
2 N; B2 b, Z. R6 g2 S
8 z& k% J# c  P: ]9 J4 M* M  `2 R     if( $uploadCondition ){
     //执行上传操作
     $savePath =  $this->_getSaveTempPath();
( s: @1 ]% ]$ z3 U8 l, b0 I3 c     $filename = md5( time().'teste' ).'.'.substr($_FILES['pic']['name'],strpos($_FILES['pic']['name'],'.')+1);
    if(@copy($_FILES['pic']['tmp_name'], $savePath.'/'.$filename) || @move_uploaded_file($_FILES['pic']['tmp_name'], $savePath.'/'.$filename))
# }4 k; @& C0 Q' k* L8 C! D; `  Y       {
; h  L4 D4 R. P$ s1 t        $result['boolen']    = 1;
; @6 O3 l; y0 R1 _4 b# C        $result['type_data'] = 'temp/'.$filename;
        $result['picurl']    = SITE_PATH.'/uploads/temp/'.$filename;
( i% j9 n) v4 T       } else {
" E) H% V: C8 r' k. L( J" k9 O        $result['boolen']    = 0;
        $result['message']   = '上传失败';
       }
% V) W8 E% W+ B2 z+ N) U2 B/ Q     }else{
/ ~. H# G. n5 d         $result['boolen']    = 0;
         $result['message']   = '上传失败';
     }
return $result;
    }
​
6 p3 E1 S% \; r, h# m; w# w4 ^
# J& d$ u4 D9 g; \- A, b) B, z: J