时尚起义开源话题微博系统 v.0.4.5 上传漏洞

漏洞出现在/action/upload.php文件中

 <?php
 /**
 **
 **By QINIAO
 **/
 !defined('QINIAO_ROOT') && exit('access deined!');
 if($uid == 0)
 {
 echo "请登录后再上传照片! <a href ='javascript:history.go(-1);'>返回</a> ";
 exit;
 }
 $uptypes = array(
 'image/jpg',
 'image/jpeg',
 'image/png',
 'image/pjpeg',
 'image/gif',
 'image/bmp',
 'image/x-png'
 );
 if($_POST['Submit']=='上传')
     {
     $file        =  $_FILES["upfile"];
     $fname         =  $_FILES["upfile"]["name"];
     $fname_array   =  explode('.',$fname);
     $fname = $fname_array[count($fname_array)-2];  //或者这样写$fname = $fname_array['0'];
     $extend        =  $fname_array[count($fname_array)-1];  ////或者这样写$extend = $fname_array['1'];
     $MAX_FILE_SIZE =  512000;
     //文件当前位置创建picture文件夹，若要在上一层目录创建则为"../picture/";

     $dest_folder   =  'data/uploadfile/content/'.date('Ymd').'/';

     if($extend!="")
         {
         if(!in_array($file["type"],$uptypes))
             {
             echo "只能上传图片文件! <a href ='javascript:history.go(-1);'>返回</a> ";
             exit;
             }
 ...

代码第12行，使用$uptypes定义了一个白名单，使用数组控制允许上传的文件类型，在第36的if语句行中进行判断，如果文件类型不在$uptypes数组中，则禁止上传，但是用于判断的$file是在第23行由$_FILES['upfile']赋值的，而$_FILES数组在客户端是可控的。

在文件后面处理上传的代码中：

 if(move_uploaded_file($_FILES["upfile"]["tmp_name"],$uploadfile))
             {
             $dest100=$dest_folder.$randval.'.'.$extend.'_view.jpg';
             chmod($uploadfile, 0755);
             $resizeimage = new resizeimage("$uploadfile", "100", "80", "1","$dest100");
             header('Location: index.php?action=group&id='.$gid.'');
             }
         else
             {
             echo "图片分享失败! <a href ='javascript:history.go(-1);'>返回</a>";
             }

会生成两个文件名，一个是上传了原始文件名，另一个是第3行代码，在原始文件名后面添加一个'_view.jpg'的后缀，估计是缩略图的文件名。

POC:

首先注册一个账号，然后发微博上传照片

上传一个测试文件test.php，其中只有一条代码phpinfo();然后需要抓包

上图是原始数据包的内容，当然不能直接上传，这样的话类型判断会过不去，上传不了的，需要修改红框标注的地方，改为$uptypes数组中定义的任何一个值即可

这是修改后的数据包

然后上传即可，在前台处，鼠标移动到图片的上方，可以看到图片路径，Php文件已经上传成功

直接在浏览器中访问该文件