ThinkPHP框架通杀所有版本的一个SQL注入漏洞

admin

下面是摘自thinkphp官方的一个公告，官方直接贴出这些东西是非常不负责的行为，跟上次apache公开的Struts2的代码执行一样的行为，会造成很多用户被黑。建议类似的厂商不要再做这种蠢事。
ThinkPHP 3.1.3及之前的版本存在一个SQL注入漏洞,漏洞存在于ThinkPHP/Lib/Core/Model.class.php 文件
根据官方文档对”防止SQL注入”的方法解释(见http://doc.thinkphp.cn/manual/sql_injection.html)
" Q" }# w/ b: q& L, Z使用查询条件预处理可以防止SQL注入,没错,当使用如下代码时可以起到效果:
$Model->where("id=%d and username='%s' and xx='%f'",array($id,$username,$xx))->select();
1 m2 u! x5 f* J0 R. A4 q
或者
& @8 D2 y3 K: U: R2 S$Model->where("id=%d and username='%s' and xx='%f'",$id,$username,$xx)->select();

0 p- l# r) ]7 p+ q) \  r, q0 p6 t 但是,当你使用如下代码时,却没有”防止SQL注入”效果(而官方文档却说可以防止SQL注入):
. d. o  c( K7 c( k$model->query('select * from user where id=%d and status=%s',$id,$status);
% y. v- b! Q5 O
( Q5 ?; y. ?4 u1 u5 k( R3 l! a或者
$model->query('select * from user where id=%d and status=%s',array($id,$status));

; G$ V/ y# v5 ]: o3 n8 u& t 原因:
" h- m* {/ l9 n/ a4 RThinkPHP/Lib/Core/Model.class.php 文件里的parseSql函数没有实现SQL过滤.
5 q" C% u3 W( j$ S6 R' \4 P3 T原函数:
8 S' G% G8 b) `7 bprotected function parseSql($sql,$parse) {
        // 分析表达式
( X0 j1 i& W0 w/ y2 P        if(true === $parse) {
9 Y. c! L* F9 M3 e" [0 n& x            $options =  $this->_parseOptions();
" G! s# Y7 ^/ q( h) N4 \            $sql  =   $this->db->parseSql($sql,$options);
* I$ g" l) K1 f6 e        }elseif(is_array($parse)){ // SQL预处理
            $sql  = vsprintf($sql,$parse);
        }else{
            $sql    =   strtr($sql,array('__TABLE__'=>$this->getTableName(),'__PREFIX__'=>C('DB_PREFIX')));
        }
        $this->db->setModel($this->name);
        return $sql;
    }

( {! G' b7 D  N  B" ?验证漏洞(举例):
; B5 p, t/ G& X+ F请求地址:
http://localhost/Main?id=boo” or 1=”1
或
http://localhost/Main?id=boo%22%20or%201=%221
action代码:
$model=M('Peipeidui');
        $m=$model->query('select * from peipeidui where name="%s"',$_GET['id']);
        dump($m);exit;
# x$ L' q. V9 Y8 X9 G1 ]* n* F或者
+ D+ T- _8 R5 V' L$model=M('Peipeidui');
: ~( s% V  c5 K+ X3 p! {        $m=$model->query('select * from peipeidui where name="%s"',array($_GET['id']));
        dump($m);exit;
1 w* E0 {* M# |5 C+ r% T: I! y/ G结果:
" p2 H9 I7 W! ]8 z( e2 M表peipeidui所有数据被列出,SQL注入语句起效.
# {) ]  x6 p- }- @解决办法:
将parseSql函数修改为:
$ g1 h) u. A+ X; k3 ~! V7 Uprotected function parseSql($sql,$parse) {
        // 分析表达式
+ l- V4 H# J- f8 p( w' c8 _+ \        if(true === $parse) {
            $options =  $this->_parseOptions();
            $sql  =   $this->db->parseSql($sql,$options);
! L+ P% w9 H$ d; {        }elseif(is_array($parse)){ // SQL预处理
8 K. V$ |9 `% K            $parse = array_map(array($this->db,'escapeString'),$parse);//此行为新增代码
- i3 ]! b  d. l7 V            $sql  = vsprintf($sql,$parse);
        }else{
            $sql    =   strtr($sql,array('__TABLE__'=>$this->getTableName(),'__PREFIX__'=>C('DB_PREFIX')));
        }
        $this->db->setModel($this->name);
        return $sql;
& C/ E* p4 v+ `) Q1 E% R$ F8 ^    }

3 y+ A8 o& p' p/ L总结:
不要过分依赖TP的底层SQL过滤,程序员要做好安全检查
不建议直接用$_GET,$_POST
[/td][/tr]
8 ~, t; Y0 i! B) q% j[/table]+1