目录 分析 总结 分析 首先看一下控制器,功能是根据用户传来的id,修改对应用户的密码. 13行把用户传来的id参数送入where()作为SQL语句中的WHERE语句,将pwd参数送入save()作为UPDATE语句. 这里我们假设请求id参数为array("bind","aaa"),pwd参数为bbb. 其中11行12行的意思是获取id.pwd参数,并通过I函数进行过滤.我们跟进一下I() 可以看到,这里首先对参数进行htmlspecialchars过滤,然后在最

前言 前段时间,晴天师傅在朋友圈发了一张ThinkPHP 注入的截图.最近几天忙于找工作的事情,没来得及看.趁着中午赶紧搭起环境分析一波.Think PHP就不介绍了,搞PHP的都应该知道. 环境搭建   本文中的测试环境为ThinkPHP 5.0.15的版本.下载,解压好以后,开始配置.首先开启debug,方便定位问题所在.修改application\config.php, app_debug和app_trace都改成true.然后创建数据库,并且修改application\database.

地址:http://xx.com/index.php/Admin.php?s=/User/Public/check payload:act=verify&username[0]=='1')) AND UPDATEXML(6026,CONCAT(0x2e0x7167656371,(SELECT (CASE WHEN (6026=6026) THEN 1 ELSE 0 END)),0x716e726771),8197)-- 1between&username[1]=CN000001&p

https://github.com/pochubs/pochubs/blob/master/ThinkPHP.md tp 历史漏洞 路由控制類RCE/think/App.php if (!preg_match('/^[A-Za-z](\w|\.)*$/', $controller)) { throw new HttpException(404, 'controller not exists:' . $controller); } 變量覆蓋RCE/think/Request.php if (in

法律声明: 工具仅供安全研究或授权渗透,非法用途后果自负. 工具: K8飞刀Final作者: K8哥哥博客: https://www.cnblogs.com/k8gege简介: 一款多功能网络安全渗透测试工具(Hacker Swiss Army Knife)                 1.漏洞利用:   已集成20个主流WEB.CMS程序,累计115个EXP(如Drupal.Joomla.Wordpress.Vbulletin.Xampp.Zimbra.ThinkPHP.Magento.D

防止SQL注入 对于WEB应用来说,SQL注入攻击无疑是首要防范的安全问题,系统底层对于数据安全方面本身进行了很多的处理和相应的防范机制,例如: $User = M("User"); // 实例化User对象 $User->find($_GET["id"]); 即便用户输入了一些恶意的id参数,系统也会强制转换成整型,避免恶意注入.这是因为,系统会对数据进行强制的数据类型检测,并且对数据来源进行数据格式转换.而且,对于字符串类型的数据,ThinkPHP都会进行

0x00 前言 这个洞,早在9月29号的时候我提交给先知,那时候tp还是5.1.25的版本,天还很蓝,我也还很年轻.时至今日这个洞依旧没有审核,而tp在这期间都已经更新到了5.1.29.在最近我去跟踪的时候,发现这个洞在5.1.26版本被修复了.好吧,既然修复了,那就公开吧,我博客也好久没有漏洞类文章了.所以说做人还是不能太向钱,有漏洞为什么不直接提给厂商呢?为什么不公开呢?是贪婪让我变得面目全非XD. 事先说明,这个洞其实很鸡肋. 0x01 漏洞详情 版本:5.1.25 影响方法:insert

ThinkPHP Builder.php SQL注入漏洞(<= 3.2.3) ref:https://www.jianshu.com/p/18d06277161e TimeSHU 2018.04.21 02:03* 字数 761 阅读 23评论 2喜欢 0 ThinkPHP Builder.php SQL注入漏洞(<= 3.2.3)的一次漏洞复现作业 ------------------------------------------------------------- 1.进入docker

如下controller即可触发SQL注入: code 区域 public function test() { $uname = I('get.uname'); $u = M('user')->where(array( 'uname' => $uname ))->find(); dump($u); } 为什么?我们看看代码.我从github下载的最新源码:https://github.com/liu21st/thinkphp/ThinkPHP/Library/Think/Db/Drive

目录 环境搭建 分析 参考 环境搭建 $ composer create-project topthink/think thinkphp-5.1.7 修改composer.json 5.1.* => 5.1.7 $ composer update 分析 这个注入点与5.0.15的注入点位置都在parseData里,都是在解析set-data时直接将用户完全控制的data拼接到SQL语句中. 下面来看漏洞点,首先根据Github的commit记录进行定位 可以看到这里直接删除了default语句块

版本过多只分析大版本和使用人数较多的版本目前使用人数最多的3.2.3.审计时也是发现多个版本未公开漏洞 测试环境:  Mysql5.6/PHP5.5 首先明确的是在不使用PDO做参数绑定时ThinkPHP全版本都可能存在宽字节注入. 黑盒检测方法:输入于头字节大于7F测试数据例如: %88%5c%27%5eupdatexml(1,concat(0x7e,database()),3)%23 (%5e 后跟任意T-SQL语句) 白盒检测方法 全局搜索默认格式是否被设置GBK 'DEFAULT_CHA

//注入的产生一般都是对用户输入的参数未做任何处理直接对条件和语句进行拼装. //不安全的写法举例1 $_GET['id']=8;//希望得到的是正整数 $data=M('Member')->where('id='.$_GET['id'])->find(); $_GET['id']='8 or status=1';//隐患:构造畸形查询条件进行注入; //安全的替换写法 $data=M('Member')->where(array('id'=>$_GET['id']))->f

漏洞demo: public function inc() { $username = request()->get('name/a'); db('user')->insert(['name' => $username]); return 'Update success'; } 首先看TP的数据获取:$username = request()->get('name/a'); request(助手函数就是获取thinkphp/library/think/Request.php 的实例

当我们使用传统的 mysql_connect .mysql_query方法来连接查询数据库时,如果过滤不严,就有SQL注入风险,导致网站被攻击,失去控制.虽然可以用mysql_real_escape_string()函数过滤用户提交的值,但是也有缺陷.而使用PHP的PDO扩展的 prepare 方法,就可以避免 sql injection 风险. PDO(PHP Data Object) 是PHP5新加入的一个重大功能,因为在PHP 5以前的php4/php3都是一堆的数据库扩展来跟各个数据库的

$Model->where("id=%d and username='%s' and xx='%f'",array($id,$username,$xx))->select(); 强制转换变量类型,防止sql注入.%d - double,包含正负号的十进制数(负数.0.正数)%s - string,字符串%f - float,浮点数

测试url: http://127.0.0.1/thinkphp/thinkphp_5.1.24/public/index.php/index/index/sqli2?id=2 控制器是获取id参数作为进行聚合查询的字段名,如下图所示 看一下存在漏洞的parseKey方法 可以看到,这里直接在$key的前后加上反引号就直接返回了.根据前面几个漏洞的分析我们可以知道parseKey是用来解析字段名的.对于insert和update之类的数据,程序一般是字段名固定,数据和where语句的等于号之后的

分析 与上一个漏洞类似,这个也是前端可以传入一个数组变量,如['exp','123','123'],后端根据array[0]来将array[1]和array[2]直接拼接到SQL语句中. 由于TP只是框架,为了保证应用业务正常运行,不能为主应用做过多的安全防御(如转义.去除危险字符等). 上一个漏洞点存在于处理where语句的parseWhere()处,而这个点则在处理insert和set的data的parseData()处. 本文以insert为例,首先payload如下: http://12

D:\wamp64\www\thinkphp5.1\tp5.1\application\index\controller\Demo1.php文件 <?php namespace app\index\controller; /** *容器与依赖注入的原理 * 1.任何的URL访问,最终都是定位到控制器,由控制器中某个具体的方法去执行 * 2.一个控制器对应着一个类,如果这些类需要进行统一管理,怎么办? * 容器进行类管理,还可以将类的实例(对象)作为参数,传递给类方法,自动触发依赖注入 * 依赖注

thinkphp使用ajax和之前使用ajax的方法一样,不同点在于之前的ajax中的url指向了一个页面,而thinkphp里面的url需要指向一个操作方法. 一.thinkphp使用ajax返回数据 1.先在Admin\Controller\MainController.class.php里面写一个方法 public function testajax()//ajax测试方法 { $this->show(); } 2.在Admin\View\Main文件夹里面建对应的显示页面testajax

1. 领域驱动安全 领域驱动安全是一种代码设计方法.其思想是将一个隐式的概念转化为显示,个人认为即是面向对象的方法,将一个概念抽象成一个类,在该类中通过方法对类的属性进行约束.是否是字符串,包含什么字母等.对原始的字符串进行封装. 好处是只需要对类做单元测试,并且保证在代码中需要用到该隐式概念时都创建这个类来进行处理.最重要的是将输入数据固定位数据.就使用参数化语句进行预处理.参数化语句是将sql语句中的参数用占位符替代,在数据库完成编译工作只签参数的时候,程序再调用相应接口将参数传递给数据库.