Thinkphp 3.2.3 parseWhere设计缺陷导致的exp注入 （一）

第一种情况：$id = I('get.id')

        //$id = $_GET['id'];
        $id = I('get.id');
 
        $data = M('user')->where(array('id'=>$id))->find();
        //$data = M('user')->where('id',$id)->find();
        //$data = M('user')->where($id)->find();

payload：http://tp32.com/index.php/home/index/test01?id[0]=exp&id[1]==1 and updatexml(1,concat(0x7e,database(),0x7e),1)

为什么这样产生不了SQL注入？

首先先看下I方法的实现：

跟进分析

发现这段部分先将你传入的格式进行分割，比如get.id，先看有没有/，然后分割，再取/左边的字符，继续以.进行分割，取get和id

然后继续判断你的传参方式是哪种方式进行传参的，进行分支判断

把其中数组中的内容进行取出来之后然后进行默认的过滤，过滤函数就参考C('DEFAULT_FILTER')其中的方法，tp默认的过滤函数是htmlspecialchars函数

接着后面继续判断你的强制转化的类型，比如get.id/d，这里的/d就说明要强制转换为整型

最后还会进行一次过滤，数组中的每个主键都会取出来然后进行正则匹配 是否存在以下关键词，如果有的话那么多加一个空格，这里是最关键的导致了我们EXP表达式，无法进行注入，比如exp那么就会转换为exp空格，多加一个空格

最终的影响：