时尚起义开源话题微博系统 v.0.4.5 上传漏洞

漏洞出现在/action/upload.php文件中

 1 <?php
 2 /**
 3 **
 4 **By QINIAO
 5 **/
 6 !defined('QINIAO_ROOT') && exit('access deined!');
 7 if($uid == 0)
 8 {
 9 echo "请登录后再上传照片! <a href ='javascript:history.go(-1);'>返回</a> ";
10 exit;
11 }
12 $uptypes = array( 
13 'image/jpg',
14 'image/jpeg',
15 'image/png',
16 'image/pjpeg',
17 'image/gif',
18 'image/bmp',
19 'image/x-png'
20 );
21 if($_POST['Submit']=='上传')
22     {
23     $file        =  $_FILES["upfile"];
24     $fname         =  $_FILES["upfile"]["name"];
25     $fname_array   =  explode('.',$fname);
26     $fname = $fname_array[count($fname_array)-2];  //或者这样写$fname = $fname_array['0'];
27     $extend        =  $fname_array[count($fname_array)-1];  ////或者这样写$extend = $fname_array['1'];
28     $MAX_FILE_SIZE =  512000;
29     //文件当前位置创建picture文件夹，若要在上一层目录创建则为"../picture/";
30     
31     
32     $dest_folder   =  'data/uploadfile/content/'.date('Ymd').'/';
33     
34     if($extend!="")
35         {
36         if(!in_array($file["type"],$uptypes))
37             {
38             echo "只能上传图片文件! <a href ='javascript:history.go(-1);'>返回</a> ";
39             exit;
40             }
41 ...

代码第12行，使用$uptypes定义了一个白名单，使用数组控制允许上传的文件类型，在第36的if语句行中进行判断，如果文件类型不在$uptypes数组中，则禁止上传，但是用于判断的$file是在第23行由$_FILES['upfile']赋值的，而$_FILES数组在客户端是可控的。

在文件后面处理上传的代码中：

 1 if(move_uploaded_file($_FILES["upfile"]["tmp_name"],$uploadfile))
 2             {
 3             $dest100=$dest_folder.$randval.'.'.$extend.'_view.jpg';
 4             chmod($uploadfile, 0755);
 5             $resizeimage = new resizeimage("$uploadfile", "100", "80", "1","$dest100");
 6             header('Location: index.php?action=group&id='.$gid.'');
 7             }
 8         else
 9             {
10             echo "图片分享失败! <a href ='javascript:history.go(-1);'>返回</a>";
11             }