thinkphp5.0.x sql注入分析

0x00 影响版本

1 2	漏洞受影响的版本 thinkphp 5.0.x <= 5.0.15

0x01 漏洞分析

首先看一下官方commit，可以看到补丁对val[1]进行了判断，之前未作处理直接进行了拼接。

根据补丁我们逆着分析，也就说只要控制了val[1],就能进行sql注入。补丁在parseData方法中，val[1]来自data，查看这个data是从哪里来的，找到调用parseData方法的地方。

可以看到有两处调用，分别查看一下

一个是该类下的update方法
一个是insert方法

那么可以猜测在执行数据库更新或者插入操作时可能存在注入。

这里以insert方法为例继续分析。根据上面的代码可以看到data直接带入到parseData中执行解析操作，那么我们继续向上追踪。找到Query类下的insert方法对其进行了传参并调用。

可以看到，这里的data就是调用insert方法时直接传入的参数，这里可以写一个简单的demo便于后续的操作和理解

<?php
namespace app\index\controller;
use think\Db;

class Index
{
    public function index()
    {
        $name = input("get.name/a");
        Db::table("think_user")->where(["id"=>1])->insert(["username"=>$name]);
        return "ThinkPHP SQL Test.";
    }
}

在这段demo中进入insert的是由get来的name是用户完全可控的。

到现在为止，我们已经知道上面提到的data是完全可以由用户控制的，那么我们回过头来，继续看看漏洞是如何发生的。

protected function parseData($data, $options)
    {
        if (empty($data)) {
            return [];
        }

        // 获取绑定信息
        $bind = $this->query->getFieldsBind($options['table']);
        if ('*' == $options['field']) {
            $fields = array_keys($bind);
        } else {
            $fields = $options['field'];
        }

        $result = [];
        foreach ($data as $key => $val) {
            $item = $this->parseKey($key, $options);
            if (is_object($val) && method_exists($val, '__toString')) {
                // 对象数据写入
                $val = $val->__toString();
            }
            if (false === strpos($key, '.') && !in_array($key, $fields, true)) {
                if ($options['strict']) {
                    throw new Exception('fields not exists:[' . $key . ']');
                }
            } elseif (is_null($val)) {
                $result[$item] = 'NULL';
            } elseif (is_array($val) && !empty($val)) {
                switch ($val[0]) {
                    case 'exp':
                        $result[$item] = $val[1];
                        break;
                    case 'inc':
                        $result[$item] = $this->parseKey($val[1]) . '+' . floatval($val[2]);
                        break;
                    case 'dec':
                        $result[$item] = $this->parseKey($val[1]) . '-' . floatval($val[2]);
                        break;
                }
            } elseif (is_scalar($val)) {
                // 过滤非标量数据
                if (0 === strpos($val, ':') && $this->query->isBind(substr($val, 1))) {
                    $result[$item] = $val;
                } else {
                    $key = str_replace('.', '_', $key);
                    $this->query->bind('data__' . $key, $val, isset($bind[$key]) ? $bind[$key] : PDO::PARAM_STR);
                    $result[$item] = ':data__' . $key;
                }
            }
        }
        return $result;
    }