OpenSNS后台文件上传漏铜分析

前言

　　这几天正在想找个文件上传漏洞分析一波，以加深对文件上传漏洞的理解，正好看到FreeBuf的一片文章记对OpenSNS的一次代码审计，由于其只对漏洞进行复现，故在此进行代码层面的分析。

漏洞分析

　　已知漏洞产生点：./Application/Admin/Controller/ThemeController.class.php 第170行

　　跟入upload函数（./ThinkPHP/Library/Think/Upload.class.php 第128行）：

　　首先可以看到对所上传的文件进行了基本的检查，再往下看：

　　此处就是对所上传文件的检测，可以看到，首先获取对上传的文件的属性集的一个资源列表。接下来使用dealFiles函数取出上传文件的数组：

　　然后获取Content-Type的值为：application/zip

　　获取所上传文件的后缀为：zip

　　然后对所上传文件进行检测，使用check函数，此函数位于该文件303行：

    private function check($file)
    {
        /* 文件上传失败，捕获错误代码 */
        if ($file['error']) {
            $this->error($file['error']);
            return false;
        }

        /* 无效上传 */
        if (empty($file['name'])) {
            $this->error = '未知上传错误！';
        }

        /* 检查是否合法上传 */
        if (!is_uploaded_file($file['tmp_name'])) {
            $this->error = '非法上传文件！';
            return false;
        }

        /* 检查文件大小 */
        if (!$this->checkSize($file['size'])) {
            $this->error = '上传文件大小不符！';
            return false;
        }

        /* 检查文件Mime类型 */
        //TODO:FLASH上传的文件获取到的mime类型都为application/octet-stream
        if (!$this->checkMime($file['type'])) {
            $this->error = '上传文件MIME类型不允许！';
            return false;
        }

        /* 检查文件后缀 */
        if (!$this->checkExt($file['ext'])) {
            $this->error = '上传文件后缀不允许';
            return false;
        }

        /* 通过检测 */
        return true;
    }

　　可以看到检测文件大小，Mime类型以及文件后缀。由于上传的zip文件在上传文件后缀白名单中，所以此处的检测全部通过。

　　最后获取文件hash值并加入$file数组中。