ThinkPHP5全版本-select 方法SQL注入

0x00 漏洞概述

本次漏洞存在于 Mysql 类的 parseWhereItem 方法中。由于程序没有对数据进行很好的过滤,将数据拼接进 SQL 语句,导致 SQL注入漏洞 的产生。漏洞影响版本: ThinkPHP5全版本 。

0x01 环境

composer create-project topthink/think=5.0.10 tp5010
 composer.json文件:
 "require": {
        "php": ">=5.4.0",
        "topthink/framework": "5.0.10"
    },
    
    更新:执行composer update

接下来设置漏洞点和配置数据库

将 application/index/controller/Index.php 文件代码设置如下:

<?php
namespace app\index\controller;
class Index
{
    public function index()
    {
        $username = request()->get('username');
        $result = db('users')->where('username','exp',$username)->select();
        return 'select success';
    }
}

创建数据库信息如下:

create database tpdemo;
use tpdemo;
create table users(
	id int primary key auto_increment,
	username varchar(50) not null
);
insert into users(id,username) values(1,'wtz');

在 config/database.php 文件中配置数据库相关信息

开启 config/app.php 中的 app_debug 和 app_trace

漏洞分析

payload:

http://127.0.0.1:88/tp5010/public/index.php/index/index/?username=)%20union%20select%20updatexml(1,concat(0x7,user(),0x7e),1)%23

这里的username接受了我们get传来的值,执行select方法。

用户输入的数据会原样进入框架的 SQL 查询方法中。首先程序先调用 Query 类的 where 方法,通过其 parseWhereExp 方法分析查询表达式,然后再返回并继续调用 select 方法准备开始构建 select 语句。(这个点得记住,框架的sql查询方法先进入 Query 类)

查看调用堆栈

这里$this->builder 为 \think\db\builder\Mysql 类,该类继承于 Builder 类,所以接着会调用 Builder 类的 select 方法。

这里的options调用了parseExpress方法,作用就是获取表(也就是我们的users表)

我们去 Builder 类去看看select 方法
这里将他进行拼接返回$sql,
ps:这里程序会对 SQL 语句模板用变量填充,其中用来填充 %WHERE% 的变量中存在用户输入的数据。

我们跟进去看parsewhere看一下里面的值是怎么过来的

跟进buildWhere
就在当前页面:
先放图再分析:

我们的数据进入了buildWhere经过一个数组遍历赋值,又进入了parseWhereItem中的where子单元分析函数。

最后当操作符等于 EXP 时,将来自用户的数据直接拼接进了 SQL 语句,执行查询语句最终导致了 SQL注入漏洞 。

漏洞修复

未修复

总结

七月火师傅的图:

参考

https://mochazz.github.io/2019/03/23/ThinkPHP5漏洞分析之SQL注入3/#攻击总结

posted @ 2020-04-19 17:50  王叹之  阅读(734)  评论(0编辑  收藏