thinkphp 3.2.3 exp注入漏洞分析

Answer 1

在官网下载thinkphp3.2.3，配置MySQL账号密码于Convention.php文件，添加一行用于打印SQL语句。漏洞代码通过特定的HTTP请求触发，如：http://127.0.0.1/index.php?id[0]=exp&id[1]==1 or sleep(5)。通过断点调试，跟踪至Model类的select函数，进而深入至其内部处理逻辑，发现$exp的值即为传入的exp，该值被直接拼接到后续SQL语句中，形成SQL注入。

使用I函数可以防止注入攻击，原因在于ThinkPHP\Common\functions.ph中的think_filter函数会将特殊关键字（如EXP、OR等）加上空格，避免进入if语句进行SQL字符拼接。

对于普通的SQL注入，thinkphp3.2.3会通过解析数据库字段类型来防止注入。在Model类的_parseType()函数中，对于字段类型为int(11)的字段，会将传入的值转化为整数类型，使得注入语句失效。对于字符型注入，系统在Think\Db\Driver.class.php中的escapeString()函数中对特殊符号进行转义，实现防御。

除了exp注入，还有bind注入方法。bind注入通过在SQL语句中插入特殊符号，导致SQL错误进行攻击。虽然实现较为复杂，但由于think_filter函数未对bind进行过滤，因此即使使用了I函数获取参数，仍有可能实现bind注入。

针对此漏洞的修复策略包括：1. 尽量在应用中使用I函数获取用户输入的参数；2. 修复代码，将安全补丁整合到index.php入口文件中，确保应用从源头开始执行安全措施。