搜索

[13249] 2018-10-01_ThinkPHP5.1.xSQL注入漏洞分析

文档创建者：s7ckTeam
浏览次数：12
最后更新：2025-01-18
2018-10-01_ThinkPHP5.1.xSQL注入漏洞分析 T h i n k P H P   5 . 1 . x   S Q L 注 入 漏 洞 分 析 a l p h a l a b   F r e e B u f   2 0 1 8 - 1 0 - 0 1 一 、 背 景 介 绍 一 、 背 景 介 绍 T h i n k P H P   是 一 个 快 速 、 简 单 的 基 于 是 一 个 快 速 、 简 单 的 基 于   M V C   和 面 向 对 象 的 轻 量 级 和 面 向 对 象 的 轻 量 级   P H P   开 发 框 架 ， 遵 循 开 发 框 架 ， 遵 循   A p a c h e 2   开 源 协 议 发 开 源 协 议 发 布 。 布 。 T h i n k P H P 从 诞 生 以 来 一 直 秉 承 简 洁 实 用 的 设 计 原 则 ， 在 保 持 出 色 的 性 能 和 至 简 的 代 码 的 同 时 ， 也 注 重 开 从 诞 生 以 来 一 直 秉 承 简 洁 实 用 的 设 计 原 则 ， 在 保 持 出 色 的 性 能 和 至 简 的 代 码 的 同 时 ， 也 注 重 开 发 体 验 和 易 用 性 ， 为 发 体 验 和 易 用 性 ， 为   W E B   应 用 和 应 用 和   A P I   开 发 提 供 了 强 有 力 的 支 持 。 开 发 提 供 了 强 有 力 的 支 持 。 在 近 期 ， T h i n k P H P   框 架 被 曝 出 存 在 S Q L 注 入 漏 洞 。 由 于 S Q L 注 入 漏 洞 的 危 害 性 以 及 该 框 架 应 用 十 分 广 泛 。   对 此 ， 天 融 信 阿 尔 法 实 验 室 以 静 态 和 动 态 两 种 方 式 对 该 漏 洞 进 行 了 深 入 分 析 。 1 . 1   漏 洞 描 述 漏 洞 描 述 在 T h i n k P H P 5 . 1 . 2 3 之 前 的 版 本 中 存 在 S Q L 注 入 漏 洞 ， 该 漏 洞 是 由 于 程 序 在 处 理 o r d e r   b y   后 的 参 数 时 ， 未 正 确 过 滤 处 理 数 组 的 k e y 值 所 造 成 。 如 果 该 参 数 用 户 可 控 ， 且 当 传 递 的 数 据 为 数 组 时 ， 会 导 致 漏 洞 的 产 生 。 1 . 2   受 影 响 的 系 统 版 本 受 影 响 的 系 统 版 本 T h i n k P H P   <   5 . 1 . 2 3 1 . 3   漏 洞 编 号 漏 洞 编 号 C V E - 2 0 1 8 - 1 6 3 8 5 二 、 环 境 搭 建 二 、 环 境 搭 建 1 . 下 载 安 装 下 载 安 装 t h i n k p h p 5 . 1 . x 对 于 t h i n k p h p 5 . 1 . x 完 整 版 ， 目 前 官 方 没 有 直 接 下 载 的 链 接 。 G i t h u b 上 只 是 放 出 核 心 版 。 该 版 本 需 要 以 C o m p o s e r 或 G i t 方 式 进 行 安 装 。 这 里 以 C o m p o s e r 安 装 方 式 说 明 。 在   L i n u x   和   M a c   O S   X   中 可 以 运 行 如 下 命 令 ： 在   W i n d o w s   中 ， 你 需 要 下 载 并 运 行   C o m p o s e r - S e t u p . e x e   。 安 装 好 之 后 ， 切 换 路 径 到 W E B 目 录 下 运 行 ： 然 后 会 生 成 一 个 名 为 t p 5 . 1 的 文 件 夹 。 到 此 t h i n k 5 . 1 . 1 下 载 成 功 。 2 . 然 后 在 浏 览 器 中 访 问 然 后 在 浏 览 器 中 访 问     c u r l   - s S   h t t p s : / / g e t c o m p o s e r . o r g / i n s t a l l e r   |   p h p m v   c o m p o s e r . p h a r / u s r / l o c a l / b i n / c o m p o s e r c o m p o s e r c r e a t e - p r o j e c t   t o p t h i n k / t h i n k = 5 . 1 . 1   t p 5 . 1   - - p r e f e r - d i s t
如 果 出 现 该 页 面 ， 则 证 明 安 装 成 功 。 3 . D e m o 示 例 示 例 编 写 D e m o 文 件 ， 并 将 文 件 命 名 为 T e s t . p h p ， 然 后 放 在 / t p 5 . 1 / a p p l i c a t i o n / i n d e x / c o n t r o l l e r / 目 录 下 。 4 . 数 据 库 数 据 库 与 D e m o 文 件 匹 配 ， 需 要 创 建 一 个 u s e r 表 ， 然 后 设 一 个 字 段 ( i d ) 。 三 、 漏 洞 细 节 三 、 漏 洞 细 节 在 / t h i n k p h p / l i b r a r y / t h i n k / d b / B u i l d e r . p h p   p a r s e O r d e r ( ) 的 函 数 中 ： 通 过 D e m o 传 入 o r d e r 参 数 内 容 ， 当 传 入 的 $ o r d e r 是 一 个 数 组 时 ， f o r e a c h 函 数 将 $ o r d e r 数 组 分 为 k e y 和 v a l u e 形 式 。
根 据 漏 洞 修 复 补 丁 ， 知 道 漏 洞 发 生 在 p a r s e O r d e r F i e l d ( ) 函 数 中 。 当 $ v a l 为 数 组 时 ， 会 进 入 p a r s e O r d e r F i e l d ( ) 函 数 。 跟 踪 p a r s e O r d e r F i e l d ( ) 函 数 g e t O p t i o n s ( ) 函 数 是 获 取 了 当 前 要 查 询 的 参 数 ， g e t F i e l d s B i n d ( ) 函 数 是 获 取 数 据 表 绑 定 信 息 ， f o r e a c h 循 环 是 对 $ v a l 值 进 行 了 处 理 ， 这 里 其 实 不 是 重 点 ， 就 提 一 下 。 $ v a l 值 是 什 么 不 用 管 ， 因 为 注 入 点 在 $ k e y 上 ， 而 $ v a l   拼 接 在 $ k e y 后 面 ， 可 以 在 构 造 $ k e y 加 # 注 释 掉 $ v a l 。 重 点 是 p a r s e K e y ( ) 函 数 ， 跟 踪 p a r s e K e y ( ) 函 数 。 这 里 对 传 入 的 $ k e y 进 行 多 重 判 断 以 及 处 理 。 1 .   i s _ n u m e r i c 判 断 ， 如 果 是 数 字 ， 则 返 回 ， 不 是 的 话 继 续 向 下 执 行 。 2 .   判 断 $ k e y 是 否 属 于 E x p r e s s i o n 类 。 3 .   s t r p o s ( $ k e y ,   ‘ - > ’ )   & &   f a l s e   = = = s t r p o s ( $ k e y ,   ‘ ( ‘ )   。 4 .   ( ‘ * ’   ! =   $ k e y   & &   ( $ s t r i c t   | | ! p r e g _ m a t c h ( ‘ / [ , ' " * ( ) ` . s ] / ’ ,   $ k e y ) ) ) 。 因 为 $ k e y 是 我 们 的 s q l 注 入 语 句 ， 所 以 1 . 2 . 3 肯 定 不 满 足 ， 而 4 满 足 。
所 以 此 时 的 $ k e y 会 在 左 右 两 侧 加 个   `   号 。 $ t a b l e 不 存 在 ， 不 会 对 $ k e y 修 改 ， 所 以 加   `   号 后 会 返 回 $ k e y ， 然 后 和 $ v a l 以 及 f i e l d 字 符 串 进 行 拼 接 ， 再 然 后 r e t u r n 赋 值 给 a r r a y 变 量 ， 紧 接 着 ， a r r a y 与 o r d e r   b y   字 符 串 进 行 拼 接 形 成 o r d e r   b y 查 询 语 句 ， 最 终 系 统 调 用 q u e r y ( ) 函 数 进 行 数 据 库 查 询 ， 触 发 漏 洞 。 着 重 说 明 一 下 ， 这 里 由 于 f i e l d 函 数 ， 漏 洞 利 用 有 两 个 关 键 点 ： 首 先 解 释 下 f i e l d ( ) 函 数 ： M y S Q L 中 的 f i e l d ( ) 函 数 作 用 是 对 S Q L 中 查 询 结 果 集 进 行 指 定 顺 序 排 序 。 一 般 与 o r d e r   b y   一 起 使 用 。 关 键 点 关 键 点 1 ： ： f i e l d ( ) 函 数 必 须 指 定 大 于 等 于 两 个 字 段 才 可 以 正 常 运 行 ， 否 则 就 会 报 错 。 当 表 中 只 有 一 个 字 段 时 ， 我 们 可 以 随 意 指 定 一 个 数 字 或 字 符 串 的 参 数 。 关 键 点 关 键 点 2 ： ： 当 f i e l d 中 的 参 数 不 是 字 符 串 或 数 字 时 ， 指 定 的 参 数 必 须 是 正 确 的 表 字 段 ， 否 则 程 序 就 会 报 错 。 这 里 由 于 程 序 会 在 第 一 个 字 段 中 加   ` `   限 制   , 所 以 必 须 指 定 正 确 的 字 段 名 称 。 第 二 个 字 段 没 有 限 制 ， 可 以 指 定 字 符 串 或 数 字 。
所 以 ， 我 们 要 利 用 该 漏 洞 ， 第 一 我 们 至 少 需 要 知 道 表 中 的 一 个 字 段 名 称 ， 第 二 向 f i e l d ( ) 函 数 中 中 传 入 两 个 字 段 。 第 二 个 字 段 不 需 要 知 道 字 段 名 ， 用 数 字 或 字 符 串 绕 过 即 可 。 P a y l o a d 构 造 构 造 根 据 以 上 分 析 ， 构 造 p a y l o a d 需 要 满 足 以 下 条 件 ： 1 . 传 入 的 $ o r d e r 需 要 是 一 个 数 组 。 2 . $ v a l   必 须 也 是 数 组 。 3 . 至 少 知 道 数 据 库 表 中 的 一 个 字 段 名 称 ， 并 且 传 入 两 个 参 数 。 4 . 闭 合   `   。 最 终 P a y l o a d 构 造 如 下 ： 或 四 、 动 态 调 试 分 析 四 、 动 态 调 试 分 析 有 时 候 单 单 静 态 分 析 ， 很 难 知 道 某 些 函 数 做 了 些 什 么 ， 而 对 于 程 序 运 行 过 程 ， 也 很 难 理 解 透 彻 。 而 利 用 动 态 分 析 ， 一 步 一 步 d e b u g ， 就 很 容 易 理 解 清 楚 。 这 里 我 们 利 用 上 面 构 造 的 p a y l o a d 进 行 d e b u g 。 首 先 下 断 点 ： h t t p : / / 1 2 7 . 0 . 0 . 1 / t p 5 . 1 / p u b l i c / i n d e x / t e s t / i n d e x ? o r d e r [ i d ` , 1 1 1 ) | u p d a t e x m l ( 1 , c o n c a t ( 0 x 3 a , u s e r ( ) ) , 1 ) % 2 3 ] [ ] = 1 h t t p : / / 1 2 7 . 0 . 0 . 1 / t p 5 . 1 / p u b l i c / i n d e x / t e s t / i n d e x ? o r d e r [ i d ` , ' a a a ' ) |   u p d a t e x m l ( 1 , c o n c a t ( 0 x 3 a , u s e r ( ) ) , 1 ) % 2 3 ] [ ] = 1
$ v a l 是 个 数 组 ， 进 入 p a r s e O r d e r F i e l d ( ) 函 数 。 F 7 下 一 步 （ 我 这 里 用 的 是 p h p s t o r m ， F 7 是 单 步 调 试 的 意 思 ） 。 f o r e a c h 循 环 后 ， 可 以 看 到 只 是 处 理 了 $ v a l ， 并 没 有 涉 及 $ k e y （ 我 们 的 关 注 点 在 $ k e y ） 。 $ v a l   的 值 是 在 $ k e y 的 基 础 上 加 了 个 : d a t a _ _ 前 缀 ， 后 面 加 了 个 0 。 继 续 F 7 ， 进 入 了 p a r s e K e y ( ) 函 数 。 到 这 里 ， 看 到 $ k e y 满 足 i f 条 件 ， 然 后 两 边 加 了 个   `   号 。
最 后 返 回 的 $ k e y 。 其 实 就 是 两 边 加 了 个   `   号   。 最 后 ， 返 回 给 a r r a y 变 量 的 值 为 f i l e 字 符 串 v a l 的 拼 接 。 继 续 F 7 ， 看 看 接 下 来 程 序 怎 么 走 。 进 行 了 l i m i t 分 析 ， u n i o n 分 析 等 多 个 分 析 处 理 ， 最 终 来 到 了 r e m o v e o p t i o n ( ) 函 数 。
可 以 看 到 这 里 的 $ s q l ， 已 经 可 以 触 发 注 入 漏 洞 。 然 后 经 过 了 中 间 的 几 个 过 程 ， 对 比 上 图 ， 并 没 有 改 变 s q l 语 句 内 容 。 最 后 s q l 语 句 ， 进 入 q u e r y ( ) 函 数 执 行 了 S Q L 语 句 ， 成 功 触 发 注 入 漏 洞 。 五 、 修 复 建 议 五 、 修 复 建 议 官 方 补 丁 官 方 补 丁 目 前 官 方 已 经 更 新 补 丁 ， 请 受 影 响 的 用 户 尽 快 升 级 到 T h i n k P H P 5 . 1 . 2 4 版 本 。 手 工 修 复 手 工 修 复 根 据 官 方 给 出 的 方 案 进 行 代 码 修 改 。 h t t p s : / / g i t h u b . c o m / t o p - t h i n k / f r a m e w o r k / c o m m i t / f 0 f 9 f c 7 1 b 8 b 3 7 1 6 b d 2 a b d f 9 5 1 8 b c d f 1 8 9 7 b b 7 7 6 * 本 文 作 者 ： 本 文 作 者 ： a l p h a l a b ， 转 载 请 注 明 来 自 ， 转 载 请 注 明 来 自 F r e e B u f . C O M
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理