中国网络渗透测试联盟
标题:
ThinkPHP框架通杀所有版本的一个SQL注入漏洞
[打印本页]
作者:
admin
时间:
2013-7-27 18:30
标题:
ThinkPHP框架通杀所有版本的一个SQL注入漏洞
下面是摘自thinkphp官方的一个公告，官方直接贴出这些东西是非常不负责的行为，跟上次apache公开的Struts2的代码执行一样的行为，会造成很多用户被黑。建议类似的厂商不要再做这种蠢事。
: R9 K- U# P$ |* O( [$ z+ H0 f
ThinkPHP 3.1.3及之前的版本存在一个
SQL注入
漏洞,漏洞存在于ThinkPHP/Lib/Core/Model.class.php 文件
& {- B: w" n7 J1 g, U5 s1 a
根据官方文档对”防止
SQL注入
”的方法解释(见
http://doc.thinkphp.cn/manual/sql_injection.html
)
) ]& ^9 }( B& {
使用查询条件预处理可以防止
SQL注入
,没错,当使用如下代码时可以起到效果:
/ b% R2 d8 i! o6 v$ A( X: O
$Model->where("id=%d and username='%s' and xx='%f'",array($id,$username,$xx))->select();
+ n# G b. u. m: E6 B
; }$ j' O2 F- Y9 x! E9 v( r
或者
. n2 W3 H8 X0 T4 e
$Model->where("id=%d and username='%s' and xx='%f'",$id,$username,$xx)->select();
1 H0 C5 Z( K9 x
; c1 y0 [* S+ f) M9 R; Z
但是,当你使用如下代码时,却没有”防止
SQL注入
”效果(而官方文档却说可以防止
SQL注入
):
* i2 Z5 B- u' {4 C0 E/ b/ q
$model->query('select * from user where id=%d and status=%s',$id,$status);
9 K3 i5 b" }* \/ n9 l
1 H( d$ G" c* r
或者
. \4 K! U# }6 O5 c! |9 d
$model->query('select * from user where id=%d and status=%s',array($id,$status));
. T( r& M5 T1 h. d( V8 Z
6 r* _9 e/ w* p
原因:
x$ A$ M5 W" p: W* Y
ThinkPHP/Lib/Core/Model.class.php 文件里的parseSql函数没有实现SQL过滤.
3 m J5 E, s. d" p3 Y/ J
原函数:
* x$ q8 j. G6 ~3 p3 }3 e7 r
protected function parseSql($sql,$parse) {
/ u( \6 @ g7 ~* L. R
// 分析表达式
* i* c4 b% G0 y7 a
if(true === $parse) {
2 b4 e6 j2 Q- L3 ~3 W
$options = $this->_parseOptions();
4 }$ P2 l# H! U9 \5 A2 X& }
$sql = $this->db->parseSql($sql,$options);
' a( l" i; |6 l* s, P
}elseif(is_array($parse)){ // SQL预处理
- y P N: o6 K" T& G
$sql = vsprintf($sql,$parse);
. u7 q1 W3 c- `2 ~& X' x. F
}else{
* d% |. _% j% u% K/ P
$sql = strtr($sql,array('__TABLE__'=>$this->getTableName(),'__PREFIX__'=>C('DB_PREFIX')));
4 p% i% d1 A/ m3 V; H, s& u+ ]
}
. E% c" B8 c6 U r; P
$this->db->setModel($this->name);
1 T9 g+ R5 N- Z8 K
return $sql;
8 c' G7 U6 I3 @8 p5 L9 h3 a' `
}
& m) a& G. z& x& t6 O9 n" M
0 o8 C; W* P7 M1 y8 Q: ?
验证漏洞(举例):
* n3 x9 v' k: R/ ^. _5 B. e- D
请求地址:
2 H8 \$ Y6 s3 {' k4 M
http://localhost/Main?id=boo” or 1=”1
; ?3 J" |9 o: q1 `' W3 K2 B* e9 z8 u
或
3 Z) i: f3 a o$ P9 i
http://localhost/Main?id=boo%22%20or%201=%221
. b2 Y; w6 _& F; y0 o1 `) E8 X3 A
action代码:
( v, f! g m2 {5 \$ ~
$model=M('Peipeidui');
6 b/ E8 w8 s0 A# k
$m=$model->query('select * from peipeidui where name="%s"',$_GET['id']);
' F! g1 B: r5 ?8 a# F
dump($m);exit;
: Q0 G& s6 |4 M, I
或者
6 j" ?, J2 F1 H- g2 e
$model=M('Peipeidui');
6 Y G" ^% y+ D4 V$ Z* [1 _
$m=$model->query('select * from peipeidui where name="%s"',array($_GET['id']));
) ~4 t1 J4 d( Y3 |- u+ M
dump($m);exit;
0 b: ~1 Z/ S6 T; {, I. T+ L
结果:
" {" g' g) U9 Y y
表peipeidui所有数据被列出,
SQL注入
语句起效.
6 o0 i3 \1 G+ J# `+ T2 |/ W) f
解决办法:
5 s8 ]# y( f! m8 h8 X7 I' d
将parseSql函数修改为:
1 `5 u v6 m3 @( p) z5 D% w/ J
protected function parseSql($sql,$parse) {
6 J9 A2 \* z8 H* |1 _ u
// 分析表达式
n8 N, e5 e! J0 h4 ^
if(true === $parse) {
: M1 d) _3 _" `" n( i2 w
$options = $this->_parseOptions();
) g& ?; H* y& ^
$sql = $this->db->parseSql($sql,$options);
( _3 |$ A9 K2 k3 a& J# d
}elseif(is_array($parse)){ // SQL预处理
2 B) j! W# G3 C. p3 v
$parse = array_map(array($this->db,'escapeString'),$parse);//此行为新增代码
8 X, A" f2 V' z; G) y/ |6 A6 e
$sql = vsprintf($sql,$parse);
4 c" e0 ]! o: V# S1 Q- j" N8 T/ q4 Q
}else{
/ {; N o% x( r I) G: S* ]
$sql = strtr($sql,array('__TABLE__'=>$this->getTableName(),'__PREFIX__'=>C('DB_PREFIX')));
" Q% q6 E+ Q) ^- }# H' S
}
" D/ u, Z! L; S8 k$ o6 c) s& Q
$this->db->setModel($this->name);
( ~& e+ }3 x- [9 Q( L2 Z
return $sql;
, v% Y8 L, M7 L4 Z0 B9 u3 X' m
}
5 o- J x; c- t: m
' x. j( p; ?6 H; q
总结:
/ N; V3 \+ x* s/ m% t9 g& Z. y+ m) h
不要过分依赖TP的底层SQL过滤,程序员要做好安全检查
% `7 \3 F! Q3 r+ l
不建议直接用$_GET,$_POST
! n# k# N$ T/ I: l* B
[/td][/tr]
$ O3 x1 t R- S# a
[/table]+1
! I# S4 J) o( u8 I; F
% ]" _! c! ]- k; s' t
' k" x$ T/ a( o' i
欢迎光临 中国网络渗透测试联盟 (https://cobjon.com/)
Powered by Discuz! X3.2