记一次渗透测试中thinkphp3.2.3 update注入

1. . 背景介绍

   在一次做渗透时，首先从领导那拿到客户需要做测试的后台URL。果然，一如既往的登录页面，但发现没有验证码验证策略，那咱先就抓个包试试登录爆破呗（爆破用Cluster bomb选项，此处不再阐述）。拿到后台口令–admin/admin123 857-857丶我估计以我的运气手动也能测出来，但客户为啥不提前给我呢~~
   

2. 摸索过程

   使用Google的附件Wappalyzer查到用户使用的是thinkphp3框架。thinkphp是国内著名的php开发框架，有完善的开发文档，基于MVC架构，其中Thinkphp3.2.3是目前使用最广泛的thinkphp版本，虽然已经停止新功能的开发，但是普及度高于新出的thinkphp5系列，由于框架实现安全数据库过程中在update更新数据的过程中存在SQL语句的拼接，并且当传入数组未过滤时导致出现了SQL注入。（老哥总结的非常nice~）
   话不多说，得到登录口令，先到后台转转——
   

在个人设置，后台管理员修改密码的地方抓个包丶

把数据包发送到Repeater利用老哥总结出的thinkphp3.2.3的PoC替换下面的post data，重发试一下丶

爆出当前用户root，继续利用此漏洞，可以使用SQL查询语句继续爆出所有数据库，所有表及所有字段等等丶

OK，thinkphp3.2.3 update注入到这一步验证就done了。作为一个有责任感且技术不怎么样的小菜鸡，这个漏洞就不在此处继续记录了，可以收拾收拾整理好漏洞报告给客户，对接客户那边及时升级打补丁修复此漏洞。

3. End
   个人记录这篇文章，第一是想记录自己的安全职业生涯，第二是想通过自己的小力量提醒大家及时打补丁修复漏洞。现在是互联网大数据时代，网络安全颇为重要。每天都会爆出很多系统、服务、软件等等高危漏洞，希望全国大中小型企业，注重网络安全，共同营造绿色网络环境~~

ps：感谢大佬的文章丶
有关此框架漏洞，原理可参考：
https://blog.csdn.net/fly_hps/article/details/84994534