ThinkPHP框架通杀所有版本的一个SQL注入漏洞

admin

下面是摘自thinkphp官方的一个公告，官方直接贴出这些东西是非常不负责的行为，跟上次apache公开的Struts2的代码执行一样的行为，会造成很多用户被黑。建议类似的厂商不要再做这种蠢事。
. y/ Q0 }9 j/ ^6 s* A+ ^$ F( yThinkPHP 3.1.3及之前的版本存在一个SQL注入漏洞,漏洞存在于ThinkPHP/Lib/Core/Model.class.php 文件
根据官方文档对”防止SQL注入”的方法解释(见http://doc.thinkphp.cn/manual/sql_injection.html)
使用查询条件预处理可以防止SQL注入,没错,当使用如下代码时可以起到效果:
$Model->where("id=%d and username='%s' and xx='%f'",array($id,$username,$xx))->select();

或者
$Model->where("id=%d and username='%s' and xx='%f'",$id,$username,$xx)->select();
( o% Y  N* Q! }# ?' J% u
但是,当你使用如下代码时,却没有”防止SQL注入”效果(而官方文档却说可以防止SQL注入):
$model->query('select * from user where id=%d and status=%s',$id,$status);
1 I/ W" r9 t5 x% m
或者
$model->query('select * from user where id=%d and status=%s',array($id,$status));
" s. u' i: Y' r1 I2 R% A" P. y
' I! W: W' o6 {, | 原因:
  `) W+ z9 }$ j4 }+ F+ pThinkPHP/Lib/Core/Model.class.php 文件里的parseSql函数没有实现SQL过滤.
原函数:
) p7 x2 f' N8 bprotected function parseSql($sql,$parse) {
; i1 C# ~) {/ @# k        // 分析表达式
1 f3 o- X# N: N3 H" E2 `        if(true === $parse) {
            $options =  $this->_parseOptions();
            $sql  =   $this->db->parseSql($sql,$options);
        }elseif(is_array($parse)){ // SQL预处理
9 h4 m! O1 A' u            $sql  = vsprintf($sql,$parse);
        }else{
; E+ k* u. W/ Y/ G( s1 D            $sql    =   strtr($sql,array('__TABLE__'=>$this->getTableName(),'__PREFIX__'=>C('DB_PREFIX')));
        }
        $this->db->setModel($this->name);
/ F% e8 P- f9 C% i( f# w, l        return $sql;
  @* s1 m, f" J% Z/ D( p% A& J4 Z) V    }

5 {' _& [6 Z1 b验证漏洞(举例):
. n3 O- c4 R; O请求地址:
* y! i1 Q8 n9 _. K) ?6 g- k+ Phttp://localhost/Main?id=boo” or 1=”1
或
http://localhost/Main?id=boo%22%20or%201=%221
action代码:
6 A. T* T4 x$ I- i$model=M('Peipeidui');
4 F% Q  v. j7 ]- Z        $m=$model->query('select * from peipeidui where name="%s"',$_GET['id']);
        dump($m);exit;
7 V+ d, O6 l- M4 o或者
/ R! J/ [2 J" c: b7 B$model=M('Peipeidui');
        $m=$model->query('select * from peipeidui where name="%s"',array($_GET['id']));
2 U+ l. v$ D% M        dump($m);exit;
结果:
* H7 T9 S) B5 k2 Z5 s1 I表peipeidui所有数据被列出,SQL注入语句起效.
解决办法:
将parseSql函数修改为:
( F, Z8 R$ s; O; j9 A- s  mprotected function parseSql($sql,$parse) {
        // 分析表达式
4 z; Z/ z, m: N% U7 N8 {, S+ b        if(true === $parse) {
( M$ _- ^* C3 |& m9 |5 @            $options =  $this->_parseOptions();
9 {8 @$ y4 o0 s: q            $sql  =   $this->db->parseSql($sql,$options);
: a1 W8 P* v( L7 w3 S        }elseif(is_array($parse)){ // SQL预处理
3 k0 c# d9 E# p            $parse = array_map(array($this->db,'escapeString'),$parse);//此行为新增代码
8 `- h' n3 W# m" Z& L6 }& w            $sql  = vsprintf($sql,$parse);
8 k0 e4 \/ y1 r, W        }else{
            $sql    =   strtr($sql,array('__TABLE__'=>$this->getTableName(),'__PREFIX__'=>C('DB_PREFIX')));
: i8 W6 Z5 \3 j; ^* g        }
        $this->db->setModel($this->name);
        return $sql;
    }
/ h- h% H1 T- p5 B* W  Y  q9 b+ `
1 j( G& r+ ^" N+ c- y( a* `总结:
  P0 p, }& |6 q) N0 P3 s不要过分依赖TP的底层SQL过滤,程序员要做好安全检查
$ L, d& e* Z. l% g( x不建议直接用$_GET,$_POST
. X) x3 }( p* o. {9 v[/td][/tr]
[/table]+1