搜索

[19292] 2018-04-20_ThinkPHP框架5.0.16sql注入漏洞分析

文档创建者：s7ckTeam
浏览次数：58
最后更新：2025-01-18
2018-04-20_ThinkPHP框架5.0.16sql注入漏洞分析 T h i n k P H P 框 架   <   5 . 0 . 1 6   s q l 注 入 漏 洞 分 析 i 春 秋   2 0 1 8 - 0 4 - 2 0 作 者 ： F 0 r m a t i 春 秋 社 区 0 x 0 1   前 言 前 言 前 天 在 公 众 号 看 到 石 大 神 发 的 一 篇 审 计 t h i n k p h p 的 文 章 , 就 想 写 一 个 分 析 流 程 ， d e l a y 到 了 今 天 。 昨 天 在 先 知 也 看 到 了 c h y b e t a 发 的 一 篇 分 析 文 章 感 觉 也 不 错 。 分 析 过 程 ， 我 也 会 做 t h i n k p h p 部 分 功 能 的 解 析 。 废 话 不 多 说 ， 开 始 吧 ！ 0 x 0 2   环 境 搭 建 和 漏 洞 复 现 环 境 搭 建 和 漏 洞 复 现 程 序 下 载 地 址 ： h t t p : / / w w w . t h i n k p h p . c n / d o w n / 1 1 2 6 . h t m l P H P s t u d y ： A p a c h e + p h p 5 . 6 + M y S Q L 工 具 ： P H P s t o r m 1 、 首 先 建 立 一 个 数 据 库 名 为 ： t h i n k p h p 2 、 建 立 一 个 表 名 为 ： u s e r 3 、 添 加 三 个 字 段 ： i d , n a m e , p a s s w o r d 4 、 在 t h i n k p h p 的 数 据 库 文 件 填 上 刚 才 我 们 建 立 的 数 据 库 信 息 ： 文 件 位 置 ： t h i n k p h p a p p l i c a t i o n d a t a b a s e . p h p 5 、 打 开 t h i n k p h p 的 调 试 模 式 ： 文 件 位 置 ： t h i n k p h p a p p l i c a t i o n c o n f i g . p h p
6 、 简 单 写 一 个 u p d a t e 功 能 ， 石 大 神 用 到 了 模 型 ， 这 里 就 简 单 写 一 个 例 子 就 行 了 。 文 件 位 置 ： t h i n k p h p a p p l i c a t i o n i n d e x c o n t r o l l e r I n d e x . p h p < ? p h p n a m e s p a c e   a p p i n d e x c o n t r o l l e r ; c l a s s   I n d e x {                 p u b l i c   f u n c t i o n   i n d e x ( )               {                                 $ p a s s w o r d   =   i n p u t ( ' g e t . p a s s w o r d / a ' ) ;   d b ( ' u s e r ' ) - > w h e r e ( [ ' i d ' = > 1 ] ) - > u p d a t e ( [ ' p a s s w o r d ' = > $ p a s s w o r d ] ) ;                                     }                   } 这 里 用 到 了 t h i n k p h p 的 助 手 函 数 i n p u t ( ) ， 是 专 用 来 接 收 g e t ， p o s t 等 的 值 。 具 体 可 以 看 ： h t t p s : / / w w w . k a n c l o u d . c n / m a n u a l / t h i n k p h p 5 / 1 1 8 0 4 4 还 有 就 是 t h i n k p h p 的 数 据 库 操 作 ， 框 架 本 身 写 好 了 我 们 调 用 就 比 较 方 便 。 所 以 为 什 么 那 么 多 人 用 框 架 去 开 发 程 序 ， 快 捷 而 且 安 全 ， 不 过 也 会 有 安 全 问 题 ， 就 像 今 天 这 个 s q l 漏 洞 ， 不 过 如 果 是 新 手 的 话 总 比 自 己 写 的 好 对 吧 哈 。 具 体 可 以 看 链 接 ： h t t p s : / / w w w . k a n c l o u d . c n / m a n u a l / t h i n k p h p 5 / 1 3 5 1 7 8 7 、 现 在 就 可 以 访 问 我 们 的 p a y l o a d 了 ： h t t p : / / t h i n k p h p . t e s t / t h i n k p h p / p u b l i c / i n d e x . p h p ? p a s s w o r d [ 0 ] = i n c & p a s s w o r d [ 1 ] = u p d a t e x m l ( 2 , c o n c a t ( 0 x 7 e , u s e r ( ) ) , 0 ) & p a s s w o r d [ 2 ] = 1
0 x 0 3   漏 洞 分 析 漏 洞 分 析 1 、 这 里 用 p h p s t o r m + d e b u g 来 动 态 分 析 ， 有 不 懂 配 置 的 可 以 访 问 我 写 一 篇 配 置 文 章 ： 利 用 p h p s t o r m + x d e b u g 进 行 断 点 调 试 我 们 在 主 函 数 下 一 断 点 ： 然 后 访 问 我 们 p a y l o a d ， 它 会 跳 到 入 口 文 件 ， 我 们 只 要 分 析 的 是 s q l 执 行 的 地 方 ， 所 以 我 们 直 接 F 8 跳 到 执 行 s q l 地 方 ： 2 、 我 们 继 续 跟 进 到 l o a d e r . p h p 它 会 包 含 t h i n k p h p 的 D b . p h p 文 件 ， 接 下 还 会 包 t h i n k p h p l i b r a r y t h i n k d b c o n n e c t o r M y s q l . p h p 文 件 ， 主 要 是 连 接 数 据 库 的 操 作 ， 这 里 就 直 接 跳 过 了 。 别 分 析 分 析 把 自 己 绕 进 去 了 ， 我 只 是 在 这 里 讲 诉 下 过 程 ， 我 们 还 是 直 接 分 析 s q l 执 行 的 部 分 吧 。 3 、 我 们 跳 到 u p d a t e 执 行 的 部 分 ， 文 件 位 置 ： t h i n k p h p l i b r a r y t h i n k d b Q u e r y . p h p
继 续 往 下 看 ， 这 句 是 执 行 我 们 s q l 的 地 方 ： 4 、 我 们 F 7 跟 进 去 ， 跳 到 文 件 位 置 t h i n k p h p l i b r a r y t h i n k d b B u i l d e r . p h p p a r s e T a b l e 函 数 直 接 F 8 往 下 执 行 了 ， 这 函 数 是 处 理 t a b l e 分 析 的 ， 主 要 还 是 p a r s e D a t a 函 数 , 我 们 继 续 F 7 跟 进 5 、 我 们 继 续 往 下 跟 进 我 们 看 到 了 这 里 如 果 传 入 的 值 为 数 组 形 式 的 话 ， 并 且 第 一 个 参 数 为 i n c 就 执 行 s w i t c h 所 对 应 的 的 语 句 。 可 以 看 到 这 里 函 数 对 我 们 传 入 的 值 没 有 做 任 何 处 理 ， 返 回 内 容 仍 然 是 我 们 的 语 句 ：
跟 到 后 面 返 回 的 执 行 s q l 语 句 ： 执 行 完 ， 我 们 跟 进 到 报 错 的 地 方 ， 说 明 我 的 语 句 执 行 成 功 ： 6 、 到 这 里 就 差 不 多 结 束 了 ， 有 人 问 ， 为 什 么 要 这 样 给 数 组 三 个 字 段 ？ 我 们 可 以 看 到 我 们 刚 才 传 入 数 组 的 地 方 ， 分 别 有 三 个 数 组 到 后 面 返 回 $ r e s u l t 的 时 候 就 组 合 在 一 起 了 ： 下 面 是 p a r s e D a t a 的 代 码 ：
p r o t e c t e d   f u n c t i o n   p a r s e D a t a ( $ d a t a ,   $ o p t i o n s )           {                 i f   ( e m p t y ( $ d a t a ) )   {                         r e t u r n   [ ] ;                 }                 / /   获 取 绑 定 信 息                       $ b i n d   =   $ t h i s - > q u e r y - > g e t F i e l d s B i n d ( $ o p t i o n s [ ' t a b l e ' ] ) ;             i f   ( ' * '   = =   $ o p t i o n s [ ' f i e l d ' ] )   {                         $ f i e l d s   =   a r r a y _ k e y s ( $ b i n d ) ;                       }   e l s e   {                         $ f i e l d s   =   $ o p t i o n s [ ' f i e l d ' ] ;                 }                 $ r e s u l t   =   [ ] ;                 f o r e a c h   ( $ d a t a   a s   $ k e y   = >   $ v a l )   {                         $ i t e m   =   $ t h i s - > p a r s e K e y ( $ k e y ,   $ o p t i o n s ) ;     i f   ( i s _ o b j e c t ( $ v a l )   & &   m e t h o d _ e x i s t s ( $ v a l ,   ' _ _ t o S t r i n g ' ) )   {                                         / /   对 象 数 据 写 入                                 $ v a l   =   $ v a l - > _ _ t o S t r i n g ( ) ;                         }                         i f   ( f a l s e   = = =   s t r p o s ( $ k e y ,   ' . ' )   & &   ! i n _ a r r a y ( $ k e y ,   $ f i e l d s ,   t r u e ) )   {                                 i f   ( $ o p t i o n s [ ' s t r i c t ' ] )   {                                         t h r o w   n e w   E x c e p t i o n ( ' f i e l d s   n o t   e x i s t s : [ '   .   $ k e y   .   ' ] ' ) ;                                 }                         }   e l s e i f   ( i s _ n u l l ( $ v a l ) )   {                                 $ r e s u l t [ $ i t e m ]   =   ' N U L L ' ;                         }   e l s e i f   ( i s _ a r r a y ( $ v a l )   & &   ! e m p t y ( $ v a l ) )   {                                                   s w i t c h   ( $ v a l [ 0 ] )   {                                         c a s e   ' e x p ' :                                                 $ r e s u l t [ $ i t e m ]   =   $ v a l [ 1 ] ;                                                 b r e a k ;                                         c a s e   ' i n c ' :                                     $ r e s u l t [ $ i t e m ]   =   $ t h i s - > p a r s e K e y ( $ v a l [ 1 ] )   .   ' + '   .   f l o a t v a l ( $ v a l [ 2 ] ) ;                                                 b r e a k ;                                         c a s e   ' d e c ' :                                                 $ r e s u l t [ $ i t e m ]   =   $ t h i s - > p a r s e K e y ( $ v a l [ 1 ] )   .   ' - '   .   f l o a t v a l ( $ v a l [ 2 ] ) ;                                                 b r e a k ;                                 }                         }   e l s e i f   ( i s _ s c a l a r ( $ v a l ) )   {                                 / /   过 滤 非 标 量 数 据                                 i f   ( 0   = = =   s t r p o s ( $ v a l ,   ' : ' )   & &   $ t h i s - > q u e r y - > i s B i n d ( s u b s t r ( $ v a l ,   1 ) ) )   {                                         $ r e s u l t [ $ i t e m ]   =   $ v a l ;                                 }   e l s e   {                                         $ k e y   =   s t r _ r e p l a c e ( ' . ' ,   ' _ ' ,   $ k e y ) ;                                         $ t h i s - > q u e r y - > b i n d ( ' d a t a _ _ '   .   $ k e y ,   $ v a l ,   i s s e t ( $ b i n d [ $ k e y ] )   ?   $ b i n d [ $ k e y ]   :   P D O : : P A R A M _ S T R ) ;                                         $ r e s u l t [ $ i t e m ]   =   ' : d a t a _ _ '   .   $ k e y ;                                 }                         }                 }                 r e t u r n   $ r e s u l t ;         } 0 x 0 4   结 束 结 束 如 果 看 不 懂 的 ， 可 以 先 去 了 解 一 下 t h i n k p h p 这 个 框 架 ， 其 他 框 架 大 同 小 异 。 如 果 里 面 一 些 P H P 代 码 看 不 懂 的 话 ， 可 以 去 复 习 下 P H P 。 0 x 0 5   参 考 参 考 h t t p s : / / w w w . k a n c l o u d . c n / m a n u a l / t h i n k p h p 5 / h t t p s : / / m p . w e i x i n . q q . c o m / s ? _ _ b i z = M z U 2 N z E 3 M T U 0 M w = = & m i d = 2 2 4 7 4 8 3 7 2 0 & i d x = 1 & s n = 9 7 3 b d 7 d a a 2 8 7 a 9 e 9 c 0 1 7 1 e 8 5 2 d b 6 c b 6 b & c h k s m = f c a 0 0 1 f 0 c b d 7 8 8 e 6 e d 3 1 1 9 d e 5 d 3 c 4 b f c 3 3 2 5 2 0 5 c 5 d d 7 f 2 9 6 e 5 5 a 2 b a 3 1 3 f 7 3 b 3 8 0 8 5 2 5 d 1 0 2 2 e 6 & m p s h a r e = 1 & s c e n e = 2 3 & s r c i d = 0 4 1 0 4 v X P M K R N V f r V z z z g 7 H X g # r d h t t p s : / / c h y b e t a . g i t h u b . i o / 2 0 1 8 / 0 4 / 1 0 / T h i n k p h p % E 6 % A 1 % 8 6 % E 6 % 9 E % B 6 - 5 - 0 - 1 6 - s q l % E 6 % B 3 % A 8 % E 5 % 8 5 % A 5 % E 6 % B C % 8 F % E 6 % B 4 % 9 E % E 5 % 8 8 % 8 6 % E 6 % 9 E % 9 0 / 编 辑 ： 海 州 责 任 编 辑 ： 小 南 瓜 校 对 ： 小 林 龙 马 、 山 雾 草 野 戳 阅 读 原 文 ， 跟 作 者 进 行 深 度 交 流 吧 戳 阅 读 原 文 ， 跟 作 者 进 行 深 度 交 流 吧 ~ 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理