ThinkPHP框架通杀所有版本的一个SQL注入漏洞

admin

下面是摘自thinkphp官方的一个公告，官方直接贴出这些东西是非常不负责的行为，跟上次apache公开的Struts2的代码执行一样的行为，会造成很多用户被黑。建议类似的厂商不要再做这种蠢事。
ThinkPHP 3.1.3及之前的版本存在一个SQL注入漏洞,漏洞存在于ThinkPHP/Lib/Core/Model.class.php 文件
* I' p$ a& r; v) X根据官方文档对”防止SQL注入”的方法解释(见http://doc.thinkphp.cn/manual/sql_injection.html)
$ ]* s  z% R" N! \6 W8 u使用查询条件预处理可以防止SQL注入,没错,当使用如下代码时可以起到效果:
$Model->where("id=%d and username='%s' and xx='%f'",array($id,$username,$xx))->select();
3 ]1 p5 N1 h4 q6 Q$ \* v
或者
$Model->where("id=%d and username='%s' and xx='%f'",$id,$username,$xx)->select();
2 V  o# G! D% u
但是,当你使用如下代码时,却没有”防止SQL注入”效果(而官方文档却说可以防止SQL注入):
  ]- G- a0 r2 M, c* p: s& U$model->query('select * from user where id=%d and status=%s',$id,$status);
8 t5 z$ o- \  s8 G
或者
$model->query('select * from user where id=%d and status=%s',array($id,$status));

; B8 S0 p. u/ `) g4 \ 原因:
ThinkPHP/Lib/Core/Model.class.php 文件里的parseSql函数没有实现SQL过滤.
+ o6 q+ O  g0 p  u原函数:
3 Y9 \, d0 N6 x% W& B9 R+ Vprotected function parseSql($sql,$parse) {
        // 分析表达式
        if(true === $parse) {
3 K; u: m6 D3 |, c% p            $options =  $this->_parseOptions();
* v6 ?; x! t3 o2 f* k            $sql  =   $this->db->parseSql($sql,$options);
        }elseif(is_array($parse)){ // SQL预处理
$ k6 Q- L# |# H/ z4 q            $sql  = vsprintf($sql,$parse);
" p  N  h! h. z8 I( j8 g        }else{
            $sql    =   strtr($sql,array('__TABLE__'=>$this->getTableName(),'__PREFIX__'=>C('DB_PREFIX')));
        }
$ C* f9 B, |7 c: @& b6 j, j        $this->db->setModel($this->name);
% n; e/ G) I$ K        return $sql;
    }

验证漏洞(举例):
  v" R9 p; O( ~# O请求地址:
2 b1 R5 Y( Y$ ]5 C6 g5 ehttp://localhost/Main?id=boo” or 1=”1
0 @. m( }! g: B9 I或
http://localhost/Main?id=boo%22%20or%201=%221
8 h6 [! X) F# f. B5 a9 daction代码:
/ [; f: d+ G) l3 F# Q$model=M('Peipeidui');
        $m=$model->query('select * from peipeidui where name="%s"',$_GET['id']);
        dump($m);exit;
3 j& w5 U, K0 f. X9 F或者
$model=M('Peipeidui');
9 |) ~( |8 Z5 n7 \        $m=$model->query('select * from peipeidui where name="%s"',array($_GET['id']));
        dump($m);exit;
结果:
表peipeidui所有数据被列出,SQL注入语句起效.
( @: V4 H* \7 H1 F2 H解决办法:
2 a/ t+ |! B: c: S. g将parseSql函数修改为:
3 g; l6 q, L- U( [6 T" R: Yprotected function parseSql($sql,$parse) {
, E* S7 O( p- d1 u- T: n6 t        // 分析表达式
9 u+ }7 y( i: k7 i  ~        if(true === $parse) {
            $options =  $this->_parseOptions();
% ~0 P9 X9 f7 H: g' c) K9 ]            $sql  =   $this->db->parseSql($sql,$options);
6 V: y6 `# j( B        }elseif(is_array($parse)){ // SQL预处理
$ t: {4 r  c3 y. b5 ?9 Q5 S            $parse = array_map(array($this->db,'escapeString'),$parse);//此行为新增代码
2 \% |/ E8 `! j  f: S# l* J$ y            $sql  = vsprintf($sql,$parse);
7 f: Y$ x2 [) n3 U        }else{
            $sql    =   strtr($sql,array('__TABLE__'=>$this->getTableName(),'__PREFIX__'=>C('DB_PREFIX')));
        }
        $this->db->setModel($this->name);
  g7 [& O+ T4 J5 M  [. A        return $sql;
) A- h1 d+ h" R8 K* `/ u    }
. t& f" J) \8 b
总结:
- `+ s% x4 U/ p9 S$ ]5 K不要过分依赖TP的底层SQL过滤,程序员要做好安全检查
- R3 G# W, ~9 h5 X% ]- O, [不建议直接用$_GET,$_POST
[/td][/tr]
[/table]+1
) U4 n$ \$ u2 @5 R5 u6 ~

- ^4 ^7 ^* z8 C5 p7 ^& u