ThinkSNS 2.8任意文件上传漏洞及修复

admin

  微博上传图片时只在前端进行验证, 服务器端没有进行安全过滤。
& P: b7 ^. V9 ]( Q  @
- ^0 x0 Z6 V9 j  \; B& W
\api\StatusesApi.class.php

function uploadpic(){
      if( $_FILES['pic'] ){
     //执行上传操作
     $savePath =  $this->_getSaveTempPath();
, ^- q  g( m6 t     $filename = md5( time().'teste' ).'.'.substr($_FILES['pic']['name'],strpos($_FILES['pic']['name'],'.')+1);
8 D% E0 X. Y9 a) R0 R4 y: z    if(@copy($_FILES['pic']['tmp_name'], $savePath.'/'.$filename) || @move_uploaded_file($_FILES['pic']['tmp_name'], $savePath.'/'.$filename))
/ ^; i% {0 ?7 p& U0 o" w       {
        $result['boolen']    = 1;
        $result['type_data'] = 'temp/'.$filename;
        $result['picurl']    = SITE_PATH.'/uploads/temp/'.$filename;
       } else {
5 |7 t& ~1 X/ x) |8 U        $result['boolen']    = 0;
        $result['message']   = '上传失败';
% p0 [* D. d! P% ?; l6 i. Y       }
: `; m  E8 D! E3 E7 d5 H& @     }else{
         $result['boolen']    = 0;
# t* B6 ^7 @% x8 X" l0 D' Z         $result['message']   = '上传失败';
     }
6 _. P3 x9 o; vreturn $result;
    }
unloadpic()方法没有对文件类型进行验证
: ~, ~4 }9 w$ G% S  n
可以构建表单, 选择任意文件, 提交到
' i" g! f5 S7 b% M+ i. V/ t! w9 Q  Y/index.php?app=w3g&mod=Index&act=doPost

: v) v3 z4 i3 v在新提交的微博上可以找到上传的文件地址(去掉small_、middle_ 前缀)
' w. I) |1 f5 W- W- t# p9 [
1 q5 X& y1 [3 l" n2 ?7 Y
7 d: Y, W( g8 k1 Y  B在登录thinksns官方微博后,
& e) B( g5 G7 `: r! i! H8 [9 m构建以下表单:

<form action="http://t.thinksns.com/index.php?app=w3g&mod=Index&act=doPost" method="post" enctype="multipart/form-data" />
) G* J$ T& ]: ?7 c9 i$ f<textarea name="content">test</textarea>
file: <input id="file" type="file" name="pic" />
1 ?. P$ O4 U: [; k<input type="submit" value="Post" />
</form>
5 ~# O' [3 R3 u5 c. Y去掉缩略图的前缀(small_ )
% l7 ]) O$ y, [0 t5 |​修复方案：

* N7 C! r2 P+ X0 z3 g
& u0 }* X0 u- K\api\StatusesApi.class.php

function uploadpic(){
9 F  O, f. E* ?6 I3 L; f, c  ]! _     /**
      * 20121018 @yelo
      * 增加上传类型验证
; N: T' S8 Y9 z      */
& ?5 P; q4 f! a     $pathinfo = pathinfo($_FILES['pic']['name']);
     $ext = $pathinfo['extension'];
$allowExts = array('jpg', 'png', 'gif', 'jpeg');
7 e6 v$ I! n6 Q' O1 S
1 W/ Z& X( }" S+ ^     $uploadCondition = $_FILES['pic'] && in_array(strtolower($ext),$allowExts,true);
+ L- U6 O* w6 I% C3 a5 B
: @* W  u6 R- n8 o/ p     if( $uploadCondition ){
     //执行上传操作
$ o  T& I- O# m0 O  c, n     $savePath =  $this->_getSaveTempPath();
: w4 E) m$ H1 \# O     $filename = md5( time().'teste' ).'.'.substr($_FILES['pic']['name'],strpos($_FILES['pic']['name'],'.')+1);
% \8 j' q7 P% u' d    if(@copy($_FILES['pic']['tmp_name'], $savePath.'/'.$filename) || @move_uploaded_file($_FILES['pic']['tmp_name'], $savePath.'/'.$filename))
       {
        $result['boolen']    = 1;
7 Q; m0 V" c+ d. z8 W) p& r, _        $result['type_data'] = 'temp/'.$filename;
/ \4 {( U2 z4 K        $result['picurl']    = SITE_PATH.'/uploads/temp/'.$filename;
. e# y& ?. F0 w, e! k1 h       } else {
' }! X1 _& g) P4 \! v: X2 o+ q        $result['boolen']    = 0;
& M5 b7 W- A* f( |* w, D        $result['message']   = '上传失败';
       }
     }else{
         $result['boolen']    = 0;
9 }' W3 u) r7 F# A+ P         $result['message']   = '上传失败';
4 R3 T# s( b4 m+ r1 J) F     }
return $result;
    }
4 _; P0 Z$ X) t) {​
) W3 e( o3 O+ z* V