ThinkPHP框架通杀所有版本的一个SQL注入漏洞

admin

下面是摘自thinkphp官方的一个公告，官方直接贴出这些东西是非常不负责的行为，跟上次apache公开的Struts2的代码执行一样的行为，会造成很多用户被黑。建议类似的厂商不要再做这种蠢事。
# X3 V2 X8 D' L+ oThinkPHP 3.1.3及之前的版本存在一个SQL注入漏洞,漏洞存在于ThinkPHP/Lib/Core/Model.class.php 文件
- Y3 a- G- j* B% z  s" {根据官方文档对”防止SQL注入”的方法解释(见http://doc.thinkphp.cn/manual/sql_injection.html)
$ C! U0 e8 `" v) ~3 g( y使用查询条件预处理可以防止SQL注入,没错,当使用如下代码时可以起到效果:
$Model->where("id=%d and username='%s' and xx='%f'",array($id,$username,$xx))->select();

& l' ?" g% s5 x9 N( g& ~2 O 或者
% Y% @  U' {8 B9 v2 g$Model->where("id=%d and username='%s' and xx='%f'",$id,$username,$xx)->select();

( R6 M+ E2 O6 {/ D1 j 但是,当你使用如下代码时,却没有”防止SQL注入”效果(而官方文档却说可以防止SQL注入):
$model->query('select * from user where id=%d and status=%s',$id,$status);

5 g3 S% b0 c$ z. b, z! ]或者
$model->query('select * from user where id=%d and status=%s',array($id,$status));
% ?8 I8 b: y2 d9 A' Z
原因:
ThinkPHP/Lib/Core/Model.class.php 文件里的parseSql函数没有实现SQL过滤.
6 t# A  q/ m( r: g% m5 R' A原函数:
protected function parseSql($sql,$parse) {
        // 分析表达式
        if(true === $parse) {
+ y. z( U7 W0 J+ \            $options =  $this->_parseOptions();
9 `) w1 w! h1 s0 w/ ~7 R            $sql  =   $this->db->parseSql($sql,$options);
3 w4 ?- ^  u6 B* |: L        }elseif(is_array($parse)){ // SQL预处理
            $sql  = vsprintf($sql,$parse);
        }else{
9 U! _* k3 ^" C6 J& B2 r            $sql    =   strtr($sql,array('__TABLE__'=>$this->getTableName(),'__PREFIX__'=>C('DB_PREFIX')));
' ~' A/ p  u. ?( S        }
4 I* {0 g2 p/ W+ J        $this->db->setModel($this->name);
: R# Y+ @/ ]* ~* {2 k9 k  C" {        return $sql;
    }
. m. U) |' i* K; t& |3 L
验证漏洞(举例):
请求地址:
7 E: T4 ]& D5 I4 X, T* Whttp://localhost/Main?id=boo” or 1=”1
或
http://localhost/Main?id=boo%22%20or%201=%221
' z; }! p2 d; q) d; `9 [action代码:
" k  D" S6 j/ O, E% a$model=M('Peipeidui');
        $m=$model->query('select * from peipeidui where name="%s"',$_GET['id']);
# A# W; r, V4 ?+ b; x5 o        dump($m);exit;
: X0 ^* j1 R( X* ]  K8 O' N+ P或者
4 @( z/ i* o1 m1 `; _$ d. ~/ h$model=M('Peipeidui');
        $m=$model->query('select * from peipeidui where name="%s"',array($_GET['id']));
        dump($m);exit;
% u7 r0 J' d6 l: _. m8 k/ [/ O结果:
) C: \; }, I' K$ x# G! k* n) z表peipeidui所有数据被列出,SQL注入语句起效.
5 ~: s3 T1 R  I( Q6 I- Z; U解决办法:
将parseSql函数修改为:
protected function parseSql($sql,$parse) {
- r( @7 X" W0 B! }! H% n        // 分析表达式
        if(true === $parse) {
7 q+ v6 t  q  g0 ~- G            $options =  $this->_parseOptions();
            $sql  =   $this->db->parseSql($sql,$options);
        }elseif(is_array($parse)){ // SQL预处理
' r5 c) i0 a. Y' b            $parse = array_map(array($this->db,'escapeString'),$parse);//此行为新增代码
% ^5 t. O- W; C: ?( {' R            $sql  = vsprintf($sql,$parse);
$ S0 ^& F* H! T$ s" @        }else{
+ ~) U4 ^2 c3 G( V% ^7 \            $sql    =   strtr($sql,array('__TABLE__'=>$this->getTableName(),'__PREFIX__'=>C('DB_PREFIX')));
8 f' z* ~/ j  u/ g! o+ ~        }
        $this->db->setModel($this->name);
        return $sql;
    }
+ y- c% I  X) T& t% K+ ^8 p
总结:
$ z/ c6 `9 o# j% ~2 E) Z* y不要过分依赖TP的底层SQL过滤,程序员要做好安全检查
1 ~7 n0 w$ F, B8 Q9 o/ A- A* }5 f不建议直接用$_GET,$_POST
[/td][/tr]
8 ~5 U3 ?# x, c5 @; v[/table]+1
3 v; y" Y8 @; o) ]
, S* b# W! O/ C2 U  [" T