关于ThinkPHP framework 任意代码执行漏洞预警
发布时间:2012-04-25 09:40:20 作者:佚名 我要评论
ThinkPHP是一个国内使用很广泛的老牌PHP MVC框架。貌似国内有不少创业公司或者项目都用了这个框架。
(福利推荐:你还在原价购买阿里云服务器?现在阿里云0.8折限时抢购活动来啦!4核8G企业云服务器仅2998元/3年,立即抢购>>>:9i0i.cn/aliyun)
最近官方发布了一个安全补丁,官方表述是:该URL安全漏洞会造成用户在客户端伪造URL,执行非法代码。
可是貌似大多数开发者和使用者并没有注意到此漏洞的危害性,应者了了,更不用说有多少人去升级了。随后我对其进行了分析,发现此问题果然是一个非常严重的问题,只要使用了thinkphp框架,就可以直接执行任意php代码。特此发帖预警各位。
我们来分析一下官方的补丁:
/trunk/ThinkPHP/Lib/Core/Dispatcher.class.php
125 - $res = preg_replace('@(w+)'.$depr.'([^'.$depr.'/]+)@e', '$var['\1']="\2";', implode($depr,$paths));
125 + $res = preg_replace('@(w+)'.$depr.'([^'.$depr.'/]+)@e', '$var['\1']='\2';', implode($depr,$paths));
这个代码是把pathinfo当作restful类型url进行解析的,主要作用是把pathinfo中的数据解析并合并到$_GET数组中。
然而在用正则解析pathinfo的时候,主要是这一句:
$res = preg_replace('@(w+)'.$depr.'([^'.$depr.'/]+)@e', '$var['\1']="\2";', implode($depr,$paths));
这里明显使用了preg_replace的/e参数,这是个非常危险的参数,如果用了这个参数,preg_replace第二个参数就会被当做php代码执行,作者用这种方式在第二个参数中,利用PHP代码给数组动态赋值。
'$var['\1']="\2";'
而这里又是双引号,而双引号中的php变量语法又是能够被解析执行的。因此,攻击者只要对任意一个使用thinkphp框架编写的应用程序,使用如下方式进行访问,即可执行任意PHP代码:
index.php/module/action/param1/${@print(THINK_VERSION)}
由于是双引号执行,这里为了保险起见,不给出更有危害性的代码,利用这个还是需要点技巧的。
总之这个问题非常严重,找了一下,发现目前没有修补漏洞的网站还是很多的。而ThinkPHP框架的特征其实非常好识别,有意者直接写个scanner进行扫描也未必不可能。
为了不造成更大损失,特地发帖希望引起各位使用thinkphp做开发的同学关注。尽早升级官方的安全补丁
作者:GaRY
相关文章
火绒安装不上怎么回事 安装火绒安全软件提示驱动版本不匹配的解决办法
有时候安装火绒安全软件时,会跳出“驱动版本不匹配,重启电脑即可修复重启”的提示界面,会有小伙伴不知道如何操作,可以先根据提示升级版本,然后启动试试2024-02-20火绒ip黑名单怎么添加ip段? 火绒ip黑名单功能的使用方法
使用电脑的时候有用户想要限制指定IP进出,那么在火绒安全中心中怎么开启此功能和添加IP黑名单呢?下方是关于如何使用火绒安全软件添加ip黑名单的具体操作方法2024-02-20- 文件哈希运算是指通过特定的算法将文件内容转化为固定长度的哈希值,用来严重我们从网上上下载的文件是否与官方提供的一致,因为很多情况下官方容易会被恶意修改挂马等2024-02-08
专业级文件MD5、SHA-256/512算法支持的校验工具(文件哈希校验器集合)
下面给大家推荐几款好用的免费的sha1、SHA-256校验工具软件,网上下载的文件不知道是否被修改过,那么就需要这样的工具了,需要的小伙伴们来了解一下2024-02-08鲁大师被检测为病毒怎么办? win11鲁大师显示为病毒的处理方法
鲁大师是一款专业的电脑硬件检测工具,win11系统安装完鲁大师工具之后,却被系统安全防护功能识别为病毒,对此鲁大师被win11识别为病毒怎么办呢?具体请看下文介绍2024-01-06360安全卫士隔离的文件在哪里? 360安全卫士快速打开隔离文件的技巧
360安全卫士隔离的文件在哪里? 360安全卫士快速打开隔离文件的技巧2023-11-07奇安信天守安全软件怎么注册 奇安信天守安全软件安装及账号注册教程
奇安信天守安全软件怎么注册?奇安信天守安全软件是一款功能强大且专业的电脑安全防护软件,下文中为大家带来了奇安信天守安全软件安装及账号注册教程,有需要的朋友快来了2023-10-10- 360安全卫士怎么开启不参与用户体验改善计划?电脑安装了360杀毒软件,软件会自动勾选参加360用户体验改善计划,但也有许多小伙伴担心自己的隐私数据被滥用,不想参与,下2023-10-09
- 360杀毒软件日志在哪?360安全卫士每天保护电脑会生成工作日志,怎么导出来呢?下面我们就来看看360安全卫士导出防护日志的技巧2023-10-09
- 360安全卫士首页不用的功能怎么删掉?360安全卫士软件首页有很多功能,想要删除不常用的功能,下面我们就来看看360安全卫士把首页已添加功能删除的教程2023-09-16
最新评论