ThinkPHP框架通杀所有版本的一个SQL注入漏洞

admin

下面是摘自thinkphp官方的一个公告，官方直接贴出这些东西是非常不负责的行为，跟上次apache公开的Struts2的代码执行一样的行为，会造成很多用户被黑。建议类似的厂商不要再做这种蠢事。
ThinkPHP 3.1.3及之前的版本存在一个SQL注入漏洞,漏洞存在于ThinkPHP/Lib/Core/Model.class.php 文件
7 V/ H* A" n9 _3 ^# c' v根据官方文档对”防止SQL注入”的方法解释(见http://doc.thinkphp.cn/manual/sql_injection.html)
8 d* M, c+ m4 A- ^* s1 d/ ?9 x" h  Q使用查询条件预处理可以防止SQL注入,没错,当使用如下代码时可以起到效果:
4 z# w2 B  A# `! w$ t1 |( n$ z$Model->where("id=%d and username='%s' and xx='%f'",array($id,$username,$xx))->select();

或者
$Model->where("id=%d and username='%s' and xx='%f'",$id,$username,$xx)->select();
6 v( h$ A4 F. s; p4 y- r- ^
+ Z+ Q4 |3 V9 p2 x1 \ 但是,当你使用如下代码时,却没有”防止SQL注入”效果(而官方文档却说可以防止SQL注入):
$model->query('select * from user where id=%d and status=%s',$id,$status);

或者
$model->query('select * from user where id=%d and status=%s',array($id,$status));
( g6 ]$ [0 M, l- j! F% ^% H
: r  B8 ]! l+ p+ F0 H 原因:
ThinkPHP/Lib/Core/Model.class.php 文件里的parseSql函数没有实现SQL过滤.
原函数:
protected function parseSql($sql,$parse) {
* ?( L+ c! |9 `" u        // 分析表达式
1 Y, m3 S8 C2 C) |0 J        if(true === $parse) {
2 E9 s. W$ D4 Q& z            $options =  $this->_parseOptions();
            $sql  =   $this->db->parseSql($sql,$options);
  u5 _- t* ~2 b6 ~4 a; a$ i) u        }elseif(is_array($parse)){ // SQL预处理
# R3 H% N# K: W# Y% C% N  f            $sql  = vsprintf($sql,$parse);
        }else{
6 N* r, i+ E; d1 W' P, c) ~5 v  H3 C( n            $sql    =   strtr($sql,array('__TABLE__'=>$this->getTableName(),'__PREFIX__'=>C('DB_PREFIX')));
        }
9 E! r: {6 d, V9 ~9 ~( [6 \& @# c        $this->db->setModel($this->name);
        return $sql;
$ w% k9 u$ y9 {# ^4 q( g, ^- g( D. x    }

/ W* u( ]( ]! {: }) L验证漏洞(举例):
4 ~. ?; _5 Q$ o) ^请求地址:
http://localhost/Main?id=boo” or 1=”1
; m6 x) o8 e+ N2 d5 q或
* B9 X# [1 q- z$ B3 hhttp://localhost/Main?id=boo%22%20or%201=%221
action代码:
$model=M('Peipeidui');
        $m=$model->query('select * from peipeidui where name="%s"',$_GET['id']);
; L" ]1 k( U) X6 }* \8 l        dump($m);exit;
或者
$model=M('Peipeidui');
$ V% t3 y$ Z1 c$ {. \        $m=$model->query('select * from peipeidui where name="%s"',array($_GET['id']));
        dump($m);exit;
结果:
表peipeidui所有数据被列出,SQL注入语句起效.
解决办法:
将parseSql函数修改为:
protected function parseSql($sql,$parse) {
9 X) L: \, q! L5 F8 c5 t; T. W/ `! a        // 分析表达式
        if(true === $parse) {
            $options =  $this->_parseOptions();
! `; Z( |( ^' H: [5 J" b            $sql  =   $this->db->parseSql($sql,$options);
/ }. e3 z- a( \8 f$ e        }elseif(is_array($parse)){ // SQL预处理
            $parse = array_map(array($this->db,'escapeString'),$parse);//此行为新增代码
5 u9 G! d  G% ^9 {2 I            $sql  = vsprintf($sql,$parse);
        }else{
6 X3 V, _- f  M0 E& x  r7 `+ b# t            $sql    =   strtr($sql,array('__TABLE__'=>$this->getTableName(),'__PREFIX__'=>C('DB_PREFIX')));
        }
        $this->db->setModel($this->name);
( s# y2 z( n9 l# I0 S$ o        return $sql;
( W' |8 E; P' z    }

总结:
不要过分依赖TP的底层SQL过滤,程序员要做好安全检查
不建议直接用$_GET,$_POST
1 G; N& c$ i! o! R0 Y, \; k[/td][/tr]
; V% r8 s. ?1 t7 s7 q2 y$ p[/table]+1