学习笔记-ThinkPHP5之SQLI审计分析（一）
ThinkPHP5之SQLI审计分析（一）
Time：8-31
影响版本：5.0.13<=ThinkPHP<=5.0.15、 5.1.0<=ThinkPHP<=5.1.5
Payload：
/public/index.php/index/index?username[0]=inc&username[1]=updatexml(1,concat(0x7,user(),0x7e),1)&username[2]=1
0x00 测试代码做了什么？
<?php
namespace app\index\controller;
class Index
{
public function index()
{
$username = request()->get('username/a');
db('users')->insert(['username' => $username]);
return 'Update success';
}
}
index控制器是默认的TP框架程序的入口，该测试代码在index控制器下新建了一个index方法（实际上本来的index方法是tp的欢迎页面，这里是覆盖替换掉原来的）。逐行来看该测试代码：获取get请求的username参数->进行数据库的insert操作->输出Update success。
其中，username/a不明白是什么意思，就跟进get方法去看一下它怎么处理的：
thinkphp/library/think/Request.php
第676行可以看到$name允许是一个数组，但是测试代码中传入的是username/a字符串。674行以GET方式接受的数据最后进入input方法，接着看下做了如何处理：
这里看到将$name参数以/分割为了$name和$type,而$type接下来被用到的地方是强制类型转换：
到这里就知道了a是一种修饰符，查看开发手册得知所有的定义好的修饰符。
同样的下断点看也可以证明$username最后其实是一个数组：（并不是因为payload是数组形式，而是由/a修饰符决定的）
然后接下来就进入到执行数据库插入操作的insert方法了。（9行这条代码的意思是向users表的username字段插入$username）
0x01 调用链分析
现在已知$username是一个数组，传入insert方法。跟进insert跳到：
thinkphp/library/think/db/Query.php
发现其内又调用了$this->builder->insert方法，且注释是生成SQL语句。文件内搜索看看builder是如何定义的：
为了方便，直接在130行下断点，得到了$class的值：（这里可以随便传个参数比如username=1进去，因为主要是为了知道调用的哪里）
所以，$this->builder实际上是一个Mysql类的对象，而Mysql类(thinkphp/library/think/db/builder/Mysql.php)是继承于Builder类的，且Mysql类里面并没有实现insert方法，所以最终调用的还是Builder类的insert方法:
thinkphp/library/think/db/Builder.php
经过上述跟进代码分析，最终得知，入口调用的insert方法最终调用的实际上是调用的Builder->insert()方法来生成SQL语句。接下来应该由内向外分析看看有没有什么有效的过滤措施。
0x02 分析最内层调用的处理
分析这个生成SQL语句（之前有个注释）的方法具体做了什么，跟进它的parseData方法：（86行）
protected function parseData($data, $options)
{
if (empty($data)) {
return [];
}
// 获取绑定信息
$bind = $this->query->getFieldsBind($options['table']);
if ('*' == $options['field']) {
$fields = array_keys($bind);
} else {
$fields = $options['field'];
}
$result = [];
foreach ($data as $key => $val) {
$item = $this->parseKey($key, $options);
if (is_object($val) && method_exists($val, '__toString')) {
// 对象数据写入
$val = $val->__toString();
}
if (false === strpos($key, '.') && !in_array($key, $fields, true)) {
if ($options['strict']) {
throw new Exception('fields not exists:[' . $key . ']');
}
} elseif (is_null($val)) {
$result[$item] = 'NULL';
} elseif (is_array($val) && !empty($val)) {
switch ($val[0]) {
case 'exp':
$result[$item] = $val[1];
break;
case 'inc':
$result[$item] = $this->parseKey($val[1]) . '+' . floatval($val[2]);
break;
case 'dec':
$result[$item] = $this->parseKey($val[1]) . '-' . floatval($val[2]);
break;
}
} elseif (is_scalar($val)) {
// 过滤非标量数据
if (0 === strpos($val, ':') && $this->query->isBind(substr($val, 1))) {
$result[$item] = $val;
} else {
$key = str_replace('.', '_', $key);
$this->query->bind('data__' . $key, $val, isset($bind[$key]) ? $bind[$key] : PDO::PARAM_STR);
$result[$item] = ':data__' . $key;
}
}
}
return $result;
}
这个函数最后return了$result变量，那么我们就看看函数体内是怎样处理$result变量的：
①首先，这个函数的第一个参数是$data，来源于最开始Query.php中insert方法的2084行:
进行了一个数组合并操作把合并的结果再赋给$data，那么合并后的$data也是一个数组，且有一个键的键名为username（因为$data本来是['username' =>$username]，在入口的第9行）。
②然后，这个函数在100行初始化了$result变量，然后101行用foreach分离$data为$key和$val，$key变成了$item:
此时的$val是可控的、get方式传入的、等价于$username。第113行判断如果$val是个数组，进入switch分支
$val[0]也就是payload中的username[0]根据不同的值进入不同的三个分支，但是可以看到每个分支的处理都是直接拼接$val[1]和$val[2] 赋给 $result[$item]，也就是$result['username']，唯一调用的parseKey并没有什么作用：
③最后，返回$result (也就是赋值给Query.php中insert方法2084行的$data)，至此parseData的主要功能就分析的差不多了。
接着看Builder类的insert方法在调用了parseData之后又干了什么：
从$data中取出键值分别赋值给代表字段名和字段值的变量，简单的替换29-33行定义的SQL语句模型，返回生成好的SQL语句。
0x03 分析上一层调用的处理
之后还有两处调用函数，即getBind()和getRealSql()但是跟进去看了下都没有任何数据清洗，仅仅是数据处理的一些解析操作。然后就到了execute()去执行SQL语句了。至此，整个处理流程基本上就分析完了，满足SQL注入漏洞的前提条件：①参数用户可控②参数直接拼接到SQL语句中，无任何有效过滤。
0x04 Payload构造
漏洞的利用点还是在最内层调用的parseData方法中，根据刚才的分析已经知道的$val实际上就是传入的username，那么$val[0]、$val[1]、$val[2]都是可控的，只要传入满足条件的值即可，因为是insert操作，所以选择用报错函数进行注入：
构造username[0]=inc，进入inc分支。
构造username[1]=updatexml(1,concat(0x7e,user(),0x7e),1)，实际的报错语句。
构造username[2]=1，只是为了补齐数组元素个数。
再加上index控制器的index方法的访问路径/public/index.php/index/index/
最后连起来就是
/public/index.php/index/index/?username[0]=inc&username[1]=updatexml(1,concat(0x7e,user(),0x7e),1)&username[2]=1
本意是代码审计，就不考虑再如何利用了。
点击关注，共同学习！
安全狗的自我修养
