coquelicot.rb

   1 require 'sinatra'
   2 require 'haml'
   3 require 'digest/sha1'
   4 require 'base64'
   5 require 'openssl'
   6 require 'yaml'
   7 require 'lockfile'
   8 require 'singleton'
   9
  10 enable :inline_templates
  11
  12 set :upload_password, '0e5f7d398e6f9cd1f6bac5cc823e363aec636495'
  13 set :default_expire, 60 # 1 hour
  14 set :filename_length, 20
  15 set :random_pass_length, 16
  16 set :lockfile_options, { :timeout => 60,
  17                          :max_age => 8,
  18                          :refresh => 2,
  19                          :debug   => false }
  20
  21 class BadKey < StandardError; end
  22
  23 class StoredFile
  24   BUFFER_LEN = 4096
  25
  26   attr_reader :meta, :expire_at
  27
  28   def self.open(path, pass = nil)
  29     StoredFile.new(path, pass)
  30   end
  31
  32   def each
  33     # output content
  34     yield @initial_content
  35     @initial_content = nil
  36     until (buf = @file.read(BUFFER_LEN)).nil?
  37       yield @cipher.update(buf)
  38     end
  39     yield @cipher.final
  40     @cipher.reset
  41     @cipher = nil
  42   end
  43
  44   def mtime
  45     @file.mtime
  46   end
  47
  48   def self.create(src, pass, meta)
  49     salt = gen_salt
  50     clear_meta = { "Coquelicot" => COQUELICOT_VERSION,
  51                    "Salt" => Base64.encode64(salt).strip,
  52                    "Expire-at" => meta.delete('Expire-at') }
  53     yield YAML.dump(clear_meta) + YAML_START
  54
  55     cipher = get_cipher(pass, salt, :encrypt)
  56     yield cipher.update(YAML.dump(meta) + YAML_START)
  57     src.rewind
  58     while not (buf = src.read(BUFFER_LEN)).nil?
  59       yield cipher.update(buf)
  60     end
  61     yield cipher.final
  62   end
  63
  64 private
  65
  66   YAML_START = "--- \n"
  67   CIPHER = 'AES-256-CBC'
  68   SALT_LEN = 8
  69   COQUELICOT_VERSION = "1.0"
  70
  71   def self.get_cipher(pass, salt, method)
  72     hmac = OpenSSL::PKCS5.pbkdf2_hmac_sha1(pass, salt, 2000, 48)
  73     cipher = OpenSSL::Cipher.new CIPHER
  74     cipher.method(method).call
  75     cipher.key = hmac[0..31]
  76     cipher.iv = hmac[32..-1]
  77     cipher
  78   end
  79
  80   def self.gen_salt
  81     OpenSSL::Random::random_bytes(SALT_LEN)
  82   end
  83
  84   def initialize(path, pass)
  85     @file = File.open(path)
  86     if YAML_START != (buf = @file.read(YAML_START.length)) then
  87       raise "unknown file, read #{buf.inspect}"
  88     end
  89     parse_clear_meta
  90     return if pass.nil?
  91     init_decrypt_cipher pass
  92     parse_meta
  93   end
  94
  95   def parse_clear_meta
  96     meta = ''
  97     until YAML_START == (line = @file.readline) do
  98       meta += line
  99     end
 100     @meta = YAML.load(meta)
 101     if @meta["Coquelicot"].nil? or @meta["Coquelicot"] != COQUELICOT_VERSION then
 102       raise "unknown file"
 103     end
 104     @expire_at = Time.at(@meta['Expire-at'].to_i)
 105   end
 106
 107   def init_decrypt_cipher(pass)
 108     salt = Base64.decode64(@meta["Salt"])
 109     @cipher = StoredFile::get_cipher(pass, salt, :decrypt)
 110   end
 111
 112   def parse_meta
 113     yaml = ''
 114     buf = @file.read(BUFFER_LEN)
 115     content = @cipher.update(buf)
 116     raise BadKey unless content.start_with? YAML_START
 117     yaml << YAML_START
 118     block = content.split(YAML_START, 3)
 119     yaml << block[1]
 120     if block.length == 3 then
 121       @initial_content = block[2]
 122       @meta.merge! YAML.load(yaml)
 123       return
 124     end
 125
 126     until (buf = @file.read(BUFFER_LEN)).nil? do
 127       block = @cipher.update(buf).split(YAML_START, 3)
 128       yaml << block[0]
 129       break if block.length == 2
 130     end
 131     @initial_content = block[1]
 132     @meta.merge! YAML.load(yaml)
 133   end
 134
 135   def close
 136     @cipher.reset unless @cipher.nil?
 137     @file.close
 138   end
 139 end
 140
 141 class Depot
 142   include Singleton
 143
 144   attr_accessor :path, :lockfile_options, :filename_length
 145
 146   def add_file(src, pass, options)
 147     dst = nil
 148     lockfile.lock do
 149       dst = gen_random_file_name
 150       File.open(full_path(dst), 'w').close
 151     end
 152     begin
 153       File.open(full_path(dst), 'w') do |dest|
 154         StoredFile.create(src, pass, options) { |data| dest.write data }
 155       end
 156     rescue
 157       File.unlink full_path(dst)
 158       raise
 159     end
 160     link = gen_random_file_name
 161     add_link(link, dst)
 162     link
 163   end
 164
 165   def get_file(link, pass)
 166     name = read_link(link)
 167     return nil if name.nil?
 168     StoredFile::open(full_path(name), pass)
 169   end
 170
 171   def file_exists?(link)
 172     name = read_link(link)
 173     return !name.nil?
 174   end
 175
 176   def gc!
 177     files.each do |name|
 178       remove_file(name) if Time.now > StoredFile::open(full_path(name)).expire_at
 179     end
 180   end
 181
 182 private
 183
 184   def lockfile
 185     Lockfile.new "#{@path}/.lock", @lockfile_options
 186   end
 187
 188   def links_path
 189     "#{@path}/.links"
 190   end
 191
 192   def add_link(src, dst)
 193     lockfile.lock do
 194       File.open(links_path, 'a') do |f|
 195         f.write("#{src} #{dst}\n")
 196       end
 197     end
 198   end
 199
 200   def remove_from_links(&block)
 201     lockfile.lock do
 202       links = []
 203       File.open(links_path, 'r+') do |f|
 204         f.readlines.each do |l|
 205           links << l unless yield l
 206         end
 207         f.rewind
 208         f.truncate(0)
 209         f.write links.join
 210       end
 211     end
 212   end
 213
 214   def remove_link(src)
 215     remove_from_links { |l| l.start_with? "#{src} " }
 216   end
 217
 218   def read_link(src)
 219     dst = nil
 220     lockfile.lock do
 221       File.open(links_path) do |f|
 222         begin
 223           line = f.readline
 224           if line.start_with? "#{src} " then
 225             dst = line.split[1]
 226             break
 227           end
 228         end until line.empty?
 229       end
 230     end
 231     dst
 232   end
 233
 234   def remove_file(name)
 235     # zero the content before unlinking
 236     File.open(full_path(name), 'r+') do |f|
 237       f.seek 0, IO::SEEK_END
 238       length = f.tell
 239       f.rewind
 240       while length > 0 do
 241         write_len = [StoredFile::BUFFER_LEN, length].min
 242         length -= f.write("\0" * write_len)
 243       end
 244     end
 245     File.unlink full_path(name)
 246     remove_from_links { |l| l.end_with? " #{name}" }
 247   end
 248
 249   def files
 250     lockfile.lock do
 251       File.open(links_path) do |f|
 252         f.readlines.collect { |l| l.split[1] }
 253       end
 254     end
 255   end
 256
 257   def gen_random_file_name
 258     begin
 259       name = gen_random_base32(@filename_length)
 260     end while File.exists?(full_path(name))
 261     name
 262   end
 263
 264   def full_path(name)
 265     raise "Wrong name" unless name.each_char.collect { |c| FILENAME_CHARS.include? c }.all?
 266     "#{@path}/#{name}"
 267   end
 268 end
 269 def depot
 270   @depot unless @depot.nil?
 271
 272   @depot = Depot.instance
 273   @depot.path = options.depot_path if @depot.path.nil?
 274   @depot.lockfile_options = options.lockfile_options if @depot.lockfile_options.nil?
 275   @depot.filename_length = options.filename_length if @depot.filename_length.nil?
 276   @depot
 277 end
 278
 279 # Like RFC 4648 (Base32)
 280 FILENAME_CHARS = %w(a b c d e f g h i j k l m n o p q r s t u v w x y z 2 3 4 5 6 7)
 281 def gen_random_base32(length)
 282   name = ''
 283   OpenSSL::Random::random_bytes(length).each_byte do |i|
 284     name << FILENAME_CHARS[i % FILENAME_CHARS.length]
 285   end
 286   name
 287 end
 288 def gen_random_pass
 289   gen_random_base32(options.random_pass_length)
 290 end
 291 def remap_base32_extra_characters(str)
 292   map = {}
 293   FILENAME_CHARS.each { |c| map[c] = c; map[c.upcase] = c }
 294   map.merge!({ '1' => 'l', '0' => 'o' })
 295   result = ''
 296   str.each_char { |c| result << map[c] }
 297   result
 298 end
 299
 300 def password_match?(password)
 301   return TRUE if settings.upload_password.nil?
 302   (not password.nil?) && Digest::SHA1.hexdigest(password) == settings.upload_password
 303 end
 304
 305 get '/style.css' do
 306   content_type 'text/css', :charset => 'utf-8'
 307   sass :style
 308 end
 309
 310 get '/' do
 311   haml :index
 312 end
 313
 314 get '/ready/:link' do |link|
 315   link, pass = link.split '-' if link.include? '-'
 316   begin
 317     file = depot.get_file(link, nil)
 318   rescue Errno::ENOENT => ex
 319     not_found
 320   end
 321   @expire_at = file.expire_at
 322   @base = request.url.gsub(/\/ready\/[^\/]*$/, '')
 323   @name = "#{link}"
 324   unless pass.nil?
 325     @name << "-#{pass}"
 326     @unprotected = true
 327   end
 328   @url = "#{@base}/#{@name}"
 329   haml :ready
 330 end
 331
 332 post '/upload' do
 333   unless password_match? params[:upload_password] then
 334     error 403
 335   end
 336   if params[:file] then
 337     tmpfile = params[:file][:tempfile]
 338     name = params[:file][:filename]
 339   end
 340   if tmpfile.nil? || name.nil? then
 341     @error = "No file selected"
 342     return haml(:index)
 343   end
 344   if params[:expire].nil? or params[:expire].to_i == 0 then
 345     params[:expire] = options.default_expire
 346   end
 347   expire_at = Time.now + 60 * params[:expire].to_i
 348   if params[:file_key].nil? or params[:file_key].empty?then
 349     pass = gen_random_pass
 350   else
 351     pass = params[:file_key]
 352   end
 353   src = params[:file][:tempfile]
 354   link = depot.add_file(
 355      src, pass,
 356      { "Expire-at" => expire_at.strftime('%s'),
 357        "Filename" => params[:file][:filename],
 358        "Length" => src.stat.size,
 359        "Content-Type" => params[:file][:type]
 360      })
 361   redirect "ready/#{link}-#{pass}" if params[:file_key].nil? or params[:file_key].empty?
 362   redirect "ready/#{link}"
 363 end
 364
 365 def expired
 366   throw :halt, [410, haml(:expired)]
 367 end
 368
 369 def send_stored_file(link, pass)
 370   file = depot.get_file(link, pass)
 371   return false if file.nil?
 372   return expired if Time.now > file.expire_at
 373
 374   last_modified file.mtime.httpdate
 375   attachment file.meta['Filename']
 376   response['Content-Length'] = "#{file.meta['Length']}"
 377   response['Content-Type'] = file.meta['Content-Type'] || 'application/octet-stream'
 378   throw :halt, [200, file]
 379 end
 380
 381 get '/:link-:pass' do |link, pass|
 382   link = remap_base32_extra_characters(link)
 383   pass = remap_base32_extra_characters(pass)
 384   not_found unless send_stored_file(link, pass)
 385 end
 386
 387 get '/:link' do |link|
 388   link = remap_base32_extra_characters(link)
 389   not_found unless depot.file_exists? link
 390   @link = link
 391   haml :enter_file_key
 392 end
 393
 394 post '/:link' do |link|
 395   pass = params[:file_key]
 396   return 403 if pass.nil? or pass.empty?
 397   begin
 398     return 403 unless send_stored_file(link, pass)
 399   rescue BadKey => ex
 400     403
 401   end
 402 end
 403
 404 helpers do
 405   def base_href
 406     url = request.scheme + "://"
 407     url << request.host
 408     if request.scheme == "https" && request.port != 443 ||
 409         request.scheme == "http" && request.port != 80
 410       url << ":#{request.port}"
 411     end
 412     url << request.script_name
 413     "#{url}/"
 414   end
 415 end
 416
 417 __END__
 418
 419 @@ layout
 420 !!! XML
 421 !!! Strict
 422 %html
 423   %head
 424     %title coquelicot
 425     %base{ :href => base_href }
 426     %link{ :rel => 'stylesheet', :href => "style.css", :type => 'text/css',
 427            :media => "screen, projection" }
 428     %script{ :type => 'text/javascript', :src => 'javascripts/jquery.min.js' }
 429     %script{ :type => 'text/javascript', :src => 'javascripts/jquery.lightBoxFu.js' }
 430     %script{ :type => 'text/javascript', :src => 'javascripts/jquery.uploadProgress.js' }
 431     %script{ :type => 'text/javascript', :src => 'javascripts/coquelicot.js' }
 432   %body
 433     #container
 434       = yield
 435
 436 @@ index
 437 %h1 Share a file!
 438 - unless @error.nil?
 439   .error= @error
 440 %form#upload{ :enctype => 'multipart/form-data',
 441               :action  => 'upload', :method => 'post' }
 442   .field
 443     %label{ :for => 'upload_password' } Upload password:
 444     %input.input{ :type => 'password', :id => 'upload_password', :name => 'upload_password' }
 445   .field
 446     %label{ :for => 'file' } File:
 447     %input.input{ :type => 'file', id => 'file', :name => 'file' }
 448   .field
 449     %label{ :for => 'expire' } Available for:
 450     %select.input{ :id => 'expire',:name => 'expire' }
 451       %option{ :value => 5            } 5 minutes
 452       %option{ :value => 60           } 1 hour
 453       %option{ :value => 60 * 24      } 1 day
 454       %option{ :value => 60 * 24 * 7  } 1 week
 455       %option{ :value => 60 * 24 * 30 } 1 month
 456   .field
 457     %label{ :for => 'file_key' } Download password:
 458     %input.input{ :type => 'password', :id => 'file_key', :name => 'file_key' }
 459   .field
 460     .submit
 461       %input.submit{ :type => 'submit', :value => 'Share!' }
 462
 463 @@ ready
 464 %h1 Pass this on!
 465 #content
 466   .url
 467     %a{ :href => @url }
 468       %span.base> #{@base}/
 469       %span.name= @name
 470   - unless @unprotected
 471     %p A password is required to download this file.
 472   %p The file will be available until #{@expire_at}.
 473   .again
 474     %a{ :href => base_href } Share another file…
 475
 476 @@ enter_file_key
 477 %h1 Enter download password…
 478 #content
 479   %form{ :action => @link, :method => 'post' }
 480     .field
 481       %label{ :for => 'file_key' } Password:
 482       %input{ :type => 'text', :id => 'file_key', :name => 'file_key' }
 483     .field
 484       .submit
 485         %input{ :type => 'submit', :value => 'Get file' }
 486
 487 @@ expired
 488 %h1 Too late…
 489 #content
 490   %p Sorry, file has expired.
 491
 492 @@ style
 493 $green: #00ff26
 494
 495 body
 496   background-color: $green
 497   font-family: Georgia
 498   color: darkgreen
 499
 500 a, a:visited
 501   text-decoration: underline
 502   color: blue
 503
 504 .error
 505   background-color: red
 506   color: white
 507   border: black solid 1px
 508
 509 h1
 510   margin-top: 0.1ex
 511   border-bottom: solid 1px #ccc
 512   text-align: center
 513
 514 #container
 515   width: 550px
 516   margin: 2em auto
 517   -moz-border-radius: 25px
 518   -webkit-border-radius: 25px
 519   background: white
 520   border: solid 1px black
 521   padding: 5px 25px
 522
 523 .url
 524   text-align: center
 525
 526 .url a
 527   text-decoration: none
 528   color: black
 529
 530 .url .base
 531   display: block
 532   font-size: small
 533
 534 .url .name
 535   display: block
 536   font-size: x-large
 537   white-space: nowrap
 538
 539 .again
 540   margin-top: 1ex
 541   text-align: right
 542
 543 .field label
 544   float: left
 545   width: 12em
 546   text-align: right
 547
 548 .input
 549   float: left
 550   width: 15em
 551
 552 .field
 553   clear: left
 554
 555 .submit
 556   text-align: center
 557
 558 #progress
 559   margin: 8px
 560   width: 220px
 561   height: 19px
 562
 563 #progressbar
 564   background: url('images/ajax-loader.gif') no-repeat
 565   width: 0px
 566   height: 19px