ThinkPHP 框架SQL注入技术分析（文末有彩蛋）

 聚焦源代码安全，网罗国内外最新资讯！

简要描述

ThinkPHP是一个免费开源的，快速、简单的面向对象的轻量级PHP开发框架，是为了敏捷WEB应用开发和简化企业应用开发而诞生的。ThinkPHP从诞生的12年间一直秉承简洁实用的设计原则，在保持出色的性能和至简的代码的同时，也注重易用性。目前ThinkPHP框架是国内使用量最大的框架之一，国内用户量众多。近日，360企业安全集团代码卫士团队安全研究人员发现该框架V5.1.7-V5.1.8 版本在底层数据处理驱动解析数据的时候存在缺陷，一定场景下，攻击者可以通过构造恶意数据包利用SQL注入的方式获取用户数据库内容。360企业安全集团代码卫士团队已第一时间和ThinkPHP团队进行沟通修复，建议相关用户及时更新官方发布的新版本。

漏洞分析

注：该漏洞ThinkPHP官方团队在报送当天（2018-04-06）紧急进行了修复处理，详细请参考：https://github.com/top-think/framework/commit/39bb0fe6d50ee77e0779f646b10bce08c442a5e3

以下漏洞分析基于ThinkPHP V5.1.8（2018-04-05未更新版）

这里我们主要跟进分析执行update操作的过程。为了方便理解，先直接放出函数的调用栈。

1. Mysql.php:200, think\db\builder\Mysql->parseArrayData()

2. Builder.php:147, think\db\Builder->parseData()

3. Builder.php:1139, think\db\Builder->update()

4. Connection.php:1149, think\db\Connection->update()

5. Query.php:2571, think\db\Query->update()

6. Index.php:18, app\index\controller\Index->testsql()

7. Container.php:285, ReflectionMethod->invokeArgs()

8. Container.php:285, think\Container->invokeReflectMethod()

9. Module.php:139, think\route\dispatch\Module->run()

10. Url.php:31, think\route\dispatch\Url->run()

11. App.php:378, think\App->think\{closure}()

12. Middleware.php:119, call_user_func_array:{C:\wamp64\www\think518\thinkphp\library\think\Middleware.php:119}()

13. Middleware.php:119, think\Middleware->think\{closure}()

14. Middleware.php:74, call_user_func:{C:\wamp64\www\think518\thinkphp\library\think\Middleware.php:74}()

15. Middleware.php:74, think\Middleware->dispatch()

16. App.php:399, think\App->run()

17. index.php:21, {main}()

缺陷关键点为thinkphp解析用户传递过来的Data可控，且可以绕过安全检查。

根据文件 Connection.php:1149,think\db\Connection->update()第1102行update函数分析，这个函数的主要功能是用于执行update SQL语句。

1. //Connection.php:1149, think\db\Connection->update()

2. public function update(Query $query)

3.    {

4.        $options = $query->getOptions();

6.        if (isset($options['cache']) && is_string($options['cache']['key'])) {

7.            $key = $options['cache']['key'];

8.        }

10.        $pk   = $query->getPk($options);

11.        $data = $options['data'];

13.        if (empty($options['where'])) {

14.            // 如果存在主键数据 则自动作为更新条件

15.            if (is_string($pk) && isset($data[$pk])) {

16.                $where[$pk] = [$pk, '=', $data[$pk]];

17.                if (!isset($key)) {

18.                    $key = $this->getCacheKey($query, $data[$pk]);

19.                }

20.                unset($data[$pk]);

21.            } elseif (is_array($pk)) {

22.                // 增加复合主键支持

23.                foreach ($pk as $field) {

24.                    if (isset($data[$field])) {

25.                        $where[$field] = [$field, '=', $data[$field]];

26.                    } else {

27.                        // 如果缺少复合主键数据则不执行

28.                        throw new Exception('miss complex primary data');

29.                    }

30.                    unset($data[$field]);

31.                }

32.            }

34.            if (!isset($where)) {

35.                // 如果没有任何更新条件则不执行

36.                throw new Exception('miss update condition');

37.            } else {

38.                $options['where']['AND'] = $where;

39.                $query->setOption('where', ['AND' => $where]);

40.            }

41.        } elseif (!isset($key) && is_string($pk) && isset($options['where']['AND'][$pk])) {

42.            $key = $this->getCacheKey($query, $options['where']['AND'][$pk]);

43.        }

45.        // 更新数据

46.        $query->setOption('data', $data);

48.        // 生成UPDATE SQL语句

49.        $sql  = $this->builder->update($query);

50.        $bind = $query->getBind();

52.        if (!empty($options['fetch_sql'])) {

53.            // 获取实际执行的SQL语句

54.            return $this->getRealSql($sql, $bind);

55.        }

57.        // 检测缓存

58.        $cache = Container::get('cache');

60.        if (isset($key) && $cache->get($key)) {

61.            // 删除缓存

62.            $cache->rm($key);

63.        } elseif (!empty($options['cache']['tag'])) {

64.            $cache->clear($options['cache']['tag']);

65.        }

67.        // 执行操作

68.        $result = '' == $sql ? 0 : $this->execute($sql, $bind);

70.        if ($result) {

71.            if (is_string($pk) && isset($where[$pk])) {

72.                $data[$pk] = $where[$pk];

73.            } elseif (is_string($pk) && isset($key) && strpos($key, '|')) {

74.                list($a, $val) = explode('|', $key);

75.                $data[$pk]     = $val;

76.            }

78.            $query->setOption('data', $data);

79.            $query->trigger('after_update');

80.        }

82.        return $result;

83.    }

第1146行， $query->setOption('data',$data);这里将用户传递的 $dataset到 $query变量中，为下一步的生成 UPDATE SQL语句做准备，执行 $sql=$this->builder->update($query);语句，重点马上要来了，跟进 Builder.php:1139,think\db\Builder->update()函数

1. //Builder.php:1139, think\db\Builder->update()

2. public function update(Query $query)

3.    {

4.        $options = $query->getOptions();

6.        $table = $this->parseTable($query, $options['table']);

7.        $data  = $this->parseData($query, $options['data']);

9.        if (empty($data)) {

10.            return '';

11.        }

13.        foreach ($data as $key => $val) {

14.            $set[] = $key . ' = ' . $val;

15.        }

17.        return str_replace(

18.            ['%TABLE%', '%SET%', '%JOIN%', '%WHERE%', '%ORDER%', '%LIMIT%', '%LOCK%', '%COMMENT%'],

19.            [

20.                $this->parseTable($query, $options['table']),

21.                implode(' , ', $set),

22.                $this->parseJoin($query, $options['join']),

23.                $this->parseWhere($query, $options['where']),

24.                $this->parseOrder($query, $options['order']),

25.                $this->parseLimit($query, $options['limit']),

26.                $this->parseLock($query, $options['lock']),

27.                $this->parseComment($query, $options['comment']),

28.            ],

29.            $this->updateSql);

30.    }

刚刚我们将用户可控的 $dataset到 $query['options']中，这里我们先获取 $query['options']内容到 $options中，然后对Data进行解析 $data=$this->parseData($query,$options['data']);

1. //Builder.php:147, think\db\Builder->parseData()

2. protected function parseData(Query $query, $data = [], $fields = [], $bind = [], $suffix = '')

3.    {

4.        if (empty($data)) {

5.            return [];

6.        }

8.        $options = $query->getOptions();

10.        // 获取绑定信息

11.        if (empty($bind)) {

12.            $bind = $this->connection->getFieldsBind($options['table']);

13.        }

15.        if (empty($fields)) {

16.            if ('*' == $options['field']) {

17.                $fields = array_keys($bind);

18.            } else {

19.                $fields = $options['field'];

20.            }

21.        }

23.        $result = [];

25.        foreach ($data as $key => $val) {

26.            $item = $this->parseKey($query, $key);

28.            if ($val instanceof Expression) {

29.                $result[$item] = $val->getValue();

30.                continue;

31.            } elseif (!is_scalar($val) && (in_array($key, (array) $query->getOptions('json')) || 'json' == $this->connection->getFieldsType($options['table'], $key))) {

32.                $val = json_encode($val);

33.            } elseif (is_object($val) && method_exists($val, '__toString')) {

34.                // 对象数据写入

35.                $val = $val->__toString();

36.            }

38.            if (false !== strpos($key, '->')) {

39.                list($key, $name) = explode('->', $key);

40.                $item             = $this->parseKey($query, $key);

41.                $result[$item]    = 'json_set(' . $item . ', \'$.' . $name . '\', ' . $this->parseDataBind($query, $key, $val, $bind, $suffix) . ')';

42.            } elseif (false === strpos($key, '.') && !in_array($key, $fields, true)) {

43.                if ($options['strict']) {

44.                    throw new Exception('fields not exists:[' . $key . ']');

45.                }

46.            } elseif (is_null($val)) {

47.                $result[$item] = 'NULL';

48.            } elseif (is_array($val) && !empty($val)) {

49.                switch ($val[0]) {

50.                    case 'INC':

51.                        $result[$item] = $item . ' + ' . floatval($val[1]);

52.                        break;

53.                    case 'DEC':

54.                        $result[$item] = $item . ' - ' . floatval($val[1]);

55.                        break;

56.                    default:

57.                        $value = $this->parseArrayData($query, $val);

58.                        if ($value) {

59.                            $result[$item] = $value;

60.                        }

61.                }

62.            } elseif (is_scalar($val)) {

63.                // 过滤非标量数据

64.                $result[$item] = $this->parseDataBind($query, $key, $val, $bind, $suffix);

65.            }

66.        }

68.        return $result;

69.    }

在第115行，通过 foreach($dataas$key=>$val)处理 $data,然后解析 $key保存到 $item变量中去，之后执行下面的判断逻辑，想要合理地进入各个判断分支，就要巧妙的构造 $key和 $value也就是 $data的值。紧接着我们进入漏洞触发点 $value=$this->parseArrayData($query,$val);,跟进函数 $value=$this->parseArrayData($query,$val);

1. //Mysql.php:200, think\db\builder\Mysql->parseArrayData()

2. protected function parseArrayData(Query $query, $data)

3.    {

4.        list($type, $value) = $data;

6.        switch (strtolower($type)) {

7.            case 'point':

8.                $fun   = isset($data[2]) ? $data[2] : 'GeomFromText';

9.                $point = isset($data[3]) ? $data[3] : 'POINT';

10.                if (is_array($value)) {

11.                    $value = implode(' ', $value);

12.                }

13.                $result = $fun . '(\'' . $point . '(' . $value . ')\')';//需要简单的构造一下sql语句

14.                break;

15.            default:

16.                $result = false;

17.        }

19.        return $result;

20.    }

这里 $type、 $value和 $data均为可控值，那么函数返回的 $result也就是可控的。回到上一个 Builder.php文件中，将返回的结果赋值到 $result[$item]=$value;中，之后的生成SQL语句和常见的流程没有任何差别不再展开具体分析。

验证截图

修复建议

更新受影响ThinkPHP版本到5.1.9或5.0.17版本以上

关于我们

360代码安全实验室是360企业安全集团旗下专门从事源代码、二进制漏洞挖掘和分析的研究团队，主要研究方向包括：Windows/Linux/MacOS操作系统、应用软件、开源软件、网络设备、IoT设备等。团队成员既有二进制漏洞挖掘高手，微软全球TOP100贡献白帽子，Pwn2own2017冠军队员，又有开源软件安全大拿，人工智能安全专家。实验室安全团队的研究成果获得微软、Adobe、各种开源组织等的50多次致谢。

参考

ThinkPHP5.0.17&5.1.9版本发布——包含安全更新

(http://www.thinkphp.cn/topic/55757.html)

【彩蛋】

现在，和技术大神共事的机会来了！360代码安全实验室正在寻找漏洞挖掘安全研究员，针对常见操作系统、应用软件、网络设备、智能联网设备等进行安全研究、漏洞挖掘。

如果你：

• 对从事漏洞研究工作充满热情

• 熟悉操作系统原理，熟悉反汇编，逆向分析能力较强

• 了解常见编程语言，具有一定的代码阅读能力

• 熟悉Fuzzing技术及常见漏洞挖掘工具

• 挖掘过系统软件、网络设备等漏洞者（有cve编号）优先

• 具有漏洞挖掘工具开发经验者优先

那么，你将得到：

• 白花花的银子——月薪20K-60K+年底双薪+项目奖，优秀者还有股票期权哦

• 暖心的福利——六险一金+各种补贴+下午茶+节假日礼品

• 重点重点重点——志同道合、暖心的我们

心动不如行动！无论你是经验丰富的大咖儿，还是志向从事安全研究的菜鸟儿，不要犹豫！

赶紧把简历投到 liubenjin@360.net 吧！我会在3个工作日内找到你~

转载请注明 “转自360代码卫士www.codesafe.cn”。