ThinkPHP框架通杀所有版本的一个SQL注入漏洞

admin

下面是摘自thinkphp官方的一个公告，官方直接贴出这些东西是非常不负责的行为，跟上次apache公开的Struts2的代码执行一样的行为，会造成很多用户被黑。建议类似的厂商不要再做这种蠢事。
ThinkPHP 3.1.3及之前的版本存在一个SQL注入漏洞,漏洞存在于ThinkPHP/Lib/Core/Model.class.php 文件
! l7 `/ u% F9 a; h+ W$ N根据官方文档对”防止SQL注入”的方法解释(见http://doc.thinkphp.cn/manual/sql_injection.html)
& n* A5 A4 e1 t* v1 {使用查询条件预处理可以防止SQL注入,没错,当使用如下代码时可以起到效果:
1 ]- B& \- V- n9 Q) Q$Model->where("id=%d and username='%s' and xx='%f'",array($id,$username,$xx))->select();

或者
$Model->where("id=%d and username='%s' and xx='%f'",$id,$username,$xx)->select();

3 E" F8 H/ L9 x# Z0 l 但是,当你使用如下代码时,却没有”防止SQL注入”效果(而官方文档却说可以防止SQL注入):
# _  P4 j! t% U3 q1 I: d4 `* ~$model->query('select * from user where id=%d and status=%s',$id,$status);

! E. V; D; o' \7 e) O或者
1 c& O; P' b- F/ N5 T6 p+ z$model->query('select * from user where id=%d and status=%s',array($id,$status));
' {0 O% G0 I+ k# Z+ O0 ]( W1 F  u! r. H
  {1 i+ ^* V0 L+ j 原因:
ThinkPHP/Lib/Core/Model.class.php 文件里的parseSql函数没有实现SQL过滤.
原函数:
protected function parseSql($sql,$parse) {
        // 分析表达式
$ \# e4 k# e# A        if(true === $parse) {
4 b6 _( d5 t$ p) d, w6 e            $options =  $this->_parseOptions();
            $sql  =   $this->db->parseSql($sql,$options);
        }elseif(is_array($parse)){ // SQL预处理
. }1 n. o# L- d; R2 X6 }- w+ D4 r# i            $sql  = vsprintf($sql,$parse);
        }else{
            $sql    =   strtr($sql,array('__TABLE__'=>$this->getTableName(),'__PREFIX__'=>C('DB_PREFIX')));
6 ~# X5 ?- s; b7 O7 I, ~        }
, ^3 V( g7 K- c$ K        $this->db->setModel($this->name);
        return $sql;
8 s0 C1 o0 k( ^! n% k9 z    }
& G; Z9 x9 n. E1 q) F, h
" P& i* m# h2 c1 r( L/ y验证漏洞(举例):
请求地址:
2 _) U, x& O% Rhttp://localhost/Main?id=boo” or 1=”1
或
7 r7 C, [4 L8 `9 y3 Nhttp://localhost/Main?id=boo%22%20or%201=%221
action代码:
$model=M('Peipeidui');
1 u" D5 E3 F/ l7 E        $m=$model->query('select * from peipeidui where name="%s"',$_GET['id']);
        dump($m);exit;
或者
9 i8 J" r" x7 @$model=M('Peipeidui');
. W+ r5 r1 W3 {* _: b' V1 k$ ?3 K0 l8 C        $m=$model->query('select * from peipeidui where name="%s"',array($_GET['id']));
        dump($m);exit;
5 G* \- X1 d/ {, X结果:
表peipeidui所有数据被列出,SQL注入语句起效.
! C+ @) M3 u5 S解决办法:
将parseSql函数修改为:
protected function parseSql($sql,$parse) {
4 @1 ~+ X4 P6 b$ {        // 分析表达式
        if(true === $parse) {
            $options =  $this->_parseOptions();
; x* e& ?* @! {5 x) O& {0 N            $sql  =   $this->db->parseSql($sql,$options);
9 [8 m9 i! Y% S6 I% z3 ?2 y        }elseif(is_array($parse)){ // SQL预处理
            $parse = array_map(array($this->db,'escapeString'),$parse);//此行为新增代码
            $sql  = vsprintf($sql,$parse);
        }else{
            $sql    =   strtr($sql,array('__TABLE__'=>$this->getTableName(),'__PREFIX__'=>C('DB_PREFIX')));
        }
        $this->db->setModel($this->name);
        return $sql;
    }

总结:
不要过分依赖TP的底层SQL过滤,程序员要做好安全检查
不建议直接用$_GET,$_POST
5 _  l  D5 J% x- t[/td][/tr]
7 ~; d; Z; e7 \[/table]+1

( T8 ^6 G6 k# r% w& F: K! Y
/ k& N) M) i0 L