当前位置:WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号:wooyun-2014-086742

漏洞标题:ThinkPHP架构设计不合理极易导致SQL注入

相关厂商:ThinkPHP

漏洞作者: phith0n

提交时间:2014-12-11 09:01

修复时间:2015-03-11 09:02

公开时间:2015-03-11 09:02

漏洞类型:设计错误/逻辑缺陷

危害等级:高

自评Rank:15

漏洞状态:厂商已经确认

漏洞来源: http://www.wooyun.org,如有疑问或需要帮助请联系 [email protected]

Tags标签:

4人收藏 收藏
分享漏洞:


漏洞详情

披露状态:

2014-12-11: 细节已通知厂商并且等待厂商处理中
2014-12-11: 厂商已经确认,细节仅向厂商公开
2014-12-14: 细节向第三方安全合作伙伴开放
2015-02-04: 细节向核心白帽子及相关领域专家公开
2015-02-14: 细节向普通白帽子公开
2015-02-24: 细节向实习白帽子公开
2015-03-11: 细节向公众公开

简要描述:

没有上一个问题严重,但也是thinkphp设计上的隐患,提出来希望能修改,不过忽略了也没办法。
实际上这两个洞的意义不仅于此,这是框架流行的时代,注入的一个新思路。

详细说明:

这个问题其实应该从前段时间Th1nk发的mongodb注入说起,http://drops.wooyun.org/tips/3939,其中提到了mongodb一种注入方式:

05.jpg


然后parsec团队里前段时间也在讨论这个问题,究竟这个漏洞是php的特性,还是mongodb的特性。后来jin发了一个精华:http://wooyun.org/bugs/wooyun-2010-086474,也从侧面印证了一个问题,这个特性(获得的GP可以是字符串也可以是数组)不仅仅是PHP存在,只要框架支持,那么就可以存在。
当然我这个洞是PHP的洞,但实际上问题出在thinkphp框架上。
问题还是在“表达式查询”这里:http://document.thinkphp.cn/manual_3_2.html#express_query
在文档里看到,我们居然可以控制查询表达式的符号:

04.jpg


这个设计和mongodb的就很类似,很可能造成安全问题,比如万能密码。
写个例子证明:

public function test()
{
if (IS_POST) {
$uname = I('post.uname', '', 'trim');
$upass = I('post.upass', '', 'trim');
$remember = I('post.remember');
if (empty($uname) || empty($upass)) {
$this->error('用户名或密码不能为空');
}
$row = M('user')->where(array(
'uname' => $uname,
'passwd' => $upass
))->find();
if (empty($row)) {
echo 0;
}else{
echo 1;
}
}
}


这是控制器里的一个登录函数,如果账号/密码输入正确则输出1,否则输出0.
很普通的一个逻辑,也是经常出现在各种应用中前/后台登录的方式。
正常情况下,随便输入一个账号/密码是肯定错误的,输出0:

06.jpg


我们将uname[0]设置为neq,也就是“不等于”,upass[0]也设置为neq,1随意:

07.jpg


果然已经注入成功了,我们看看数据库语句究竟是什么:

08.jpg


实际上我们控制了操作符,所以让uname<>aaaa,upass<>bbbb,那么这句话肯定成立,就此造成了一个万能密码,成功登录。
具体实例可能需要慢慢找,因为一般password会进行md5,导致我们传入数组是不行的。但这个思路可以引申到所有使用where语句的地方。

漏洞证明:

见详细说明。

修复方案:

强制转换为字符串,再放入where语句。

版权声明:转载请注明来源 phith0n@乌云


漏洞回应

厂商回应:

危害等级:中

漏洞Rank:8

确认时间:2014-12-11 17:04

厂商回复:

该漏洞在系统没有对用户数据做严谨判断,并且在可能的业务逻辑的情况下会导致SQL注入的产生。目前的github版本TP和OT均已修正~

最新状态:

暂无