ThinkPHP框架通杀所有版本的一个SQL注入漏洞

admin

下面是摘自thinkphp官方的一个公告，官方直接贴出这些东西是非常不负责的行为，跟上次apache公开的Struts2的代码执行一样的行为，会造成很多用户被黑。建议类似的厂商不要再做这种蠢事。
* h5 l0 `2 s4 T8 ~# h' qThinkPHP 3.1.3及之前的版本存在一个SQL注入漏洞,漏洞存在于ThinkPHP/Lib/Core/Model.class.php 文件
根据官方文档对”防止SQL注入”的方法解释(见http://doc.thinkphp.cn/manual/sql_injection.html)
使用查询条件预处理可以防止SQL注入,没错,当使用如下代码时可以起到效果:
! \. v- M4 j2 d9 H$Model->where("id=%d and username='%s' and xx='%f'",array($id,$username,$xx))->select();
; s' j3 U, }1 g( ]1 }7 {5 @
) {5 N7 f* |3 x7 O3 h 或者
$Model->where("id=%d and username='%s' and xx='%f'",$id,$username,$xx)->select();
  F- c2 C8 V+ m/ Y- M, [" z* }% G
但是,当你使用如下代码时,却没有”防止SQL注入”效果(而官方文档却说可以防止SQL注入):
$model->query('select * from user where id=%d and status=%s',$id,$status);
. ~8 J" N. a8 h; {2 B/ Z, {
或者
$model->query('select * from user where id=%d and status=%s',array($id,$status));
5 `8 a9 ]5 v! L7 f& H
4 ^. s; ~' @! f* v5 I7 e 原因:
ThinkPHP/Lib/Core/Model.class.php 文件里的parseSql函数没有实现SQL过滤.
! |. R1 D$ t% v1 U原函数:
! p) n9 F/ m5 n, |8 l! Gprotected function parseSql($sql,$parse) {
6 V% T* v$ M# J; J( G  p) i+ p; X        // 分析表达式
        if(true === $parse) {
            $options =  $this->_parseOptions();
' `9 _0 G# o% d9 L5 q. q            $sql  =   $this->db->parseSql($sql,$options);
        }elseif(is_array($parse)){ // SQL预处理
1 b  O3 Y  t- Q2 b# o* B; h8 f0 W8 R            $sql  = vsprintf($sql,$parse);
        }else{
2 k% K  x  ]1 ?  ^1 `3 J6 s            $sql    =   strtr($sql,array('__TABLE__'=>$this->getTableName(),'__PREFIX__'=>C('DB_PREFIX')));
        }
        $this->db->setModel($this->name);
) C& A  U4 |3 q' O# W2 {& ]9 C        return $sql;
; Q8 U: u! C0 Q+ O    }
- Q/ Z- \8 E4 @" N$ Q  V+ }
) I4 k2 _2 G9 R验证漏洞(举例):
请求地址:
' x* `) c1 x5 @http://localhost/Main?id=boo” or 1=”1
或
http://localhost/Main?id=boo%22%20or%201=%221
action代码:
$model=M('Peipeidui');
        $m=$model->query('select * from peipeidui where name="%s"',$_GET['id']);
        dump($m);exit;
或者
$model=M('Peipeidui');
8 F1 O% Z  m5 t0 C        $m=$model->query('select * from peipeidui where name="%s"',array($_GET['id']));
7 W. v- C2 t+ ^0 f" h; j        dump($m);exit;
结果:
% K. |- ]2 D& U$ H2 U; k' [* @表peipeidui所有数据被列出,SQL注入语句起效.
解决办法:
8 y( h' y* A& @* |4 q: s- ~3 U将parseSql函数修改为:
1 t5 h3 y' h  K$ ^2 e( N( aprotected function parseSql($sql,$parse) {
# ]+ t+ R: N0 v! W& y) K        // 分析表达式
        if(true === $parse) {
2 Y/ S! i& R: m% E; l# N( n            $options =  $this->_parseOptions();
            $sql  =   $this->db->parseSql($sql,$options);
- W) c% D+ I. F3 u& @# @        }elseif(is_array($parse)){ // SQL预处理
            $parse = array_map(array($this->db,'escapeString'),$parse);//此行为新增代码
# j2 \6 w, Z/ C* l            $sql  = vsprintf($sql,$parse);
        }else{
! _( ^& }3 Y% T; D0 S, w$ M, x, F! u" }            $sql    =   strtr($sql,array('__TABLE__'=>$this->getTableName(),'__PREFIX__'=>C('DB_PREFIX')));
0 o$ z" W5 ]" |: D8 n        }
/ S! b% P0 z( b6 d- s0 Z" h        $this->db->setModel($this->name);
% J- u# K% y/ g$ ]5 Z        return $sql;
    }
$ _: E+ n$ B$ }* O) P# K* M. H. |
; Y0 R: i% ~9 q  ]* P$ A' w总结:
1 A4 S+ K; ?. }: M不要过分依赖TP的底层SQL过滤,程序员要做好安全检查
不建议直接用$_GET,$_POST
[/td][/tr]
& ]4 `0 g+ I* B[/table]+1
6 i6 A% o. U% d' o; ?0 I
& ~3 k0 y( M- G( A3 ]3 z1 R