漏洞详情: 漏洞文件:./ThinkPHP\Library\Think\Db\Driver.class.php 中的 parseOrder方法: 这也是继上次order方法注入之后的修复手段. 可以看到首先判断是否存在ASC或DESC,正是因为这判断,导致了我们可以引入 ( 等禁止的字符,所以导致了绕过过滤进行注入. 漏洞证明: 漏洞demo代码:    public function orderby()     {         $obj = M('user');         $res 

防止SQL注入 对于WEB应用来说,SQL注入攻击无疑是首要防范的安全问题,系统底层对于数据安全方面本身进行了很多的处理和相应的防范机制,例如: $User = M("User"); // 实例化User对象 $User->find($_GET["id"]); 即便用户输入了一些恶意的id参数,系统也会强制转换成整型,避免恶意注入.这是因为,系统会对数据进行强制的数据类型检测,并且对数据来源进行数据格式转换.而且,对于字符串类型的数据,ThinkPHP都会进行

$Model->where("id=%d and username='%s' and xx='%f'",array($id,$username,$xx))->select(); 强制转换变量类型,防止sql注入.%d - double,包含正负号的十进制数(负数.0.正数)%s - string,字符串%f - float,浮点数

转:http://static.hx99.net/static/drops/tips-288.html 攻击JavaWeb应用[4]-SQL注入[2] 园长 · 2013/07/18 17:23 注:这一节主要是介绍Oracle和SQL注入工具相关,本应该是和前面的Mysql一起但是由于章节过长了没法看,所以就分开了. 0x00 Oracle Oracle Database,又名Oracle RDBMS,或简称Oracle.是甲骨文公司的一款关系数据库管理系统. Oracle对于MYSQL.MS

01-SQL注入漏洞原理与利用 预备知识: 了解HTTP协议,了解常见的数据库.脚本语言.中间件.具备基本的编程语言基础. 授课大纲: 第一章:SQL注入基础 1.1 Web应用架构分析1.2 SQLi注入环境搭建1.3 SQL注入原理分析1.4 MySQL注入方法逻辑运算及常用函数1.5 SQL注入流程1.6 SQL手工注入方法 第二章:SQL注入语法类型 2.1 union联合查询注入2.2 update注入2.3 insert注入2.4 oder by注入 第三章:SQL盲注 3.1 SQ

2017swpu-ctf总结 今年是我第一次出题感受很多,就分析几道我印象最深刻的题吧 你能进入后台吗? 这道题主要是考察php_screw还有md5加密开启true过后的注入 phpscrew加密在github上有解密工具 工具地址 至于绕过md5($password,true)这个其实主要就是通过md5后的hex值转换成字符串如果包含'or'就导致绕过注入 字符串:ffifdyop满足上述条件 flag!flag! 这是我出的题本来是想出thinkphp的洞的,不过已经有一个thinkphp

0x00 前言 这个洞,早在9月29号的时候我提交给先知,那时候tp还是5.1.25的版本,天还很蓝,我也还很年轻.时至今日这个洞依旧没有审核,而tp在这期间都已经更新到了5.1.29.在最近我去跟踪的时候,发现这个洞在5.1.26版本被修复了.好吧,既然修复了,那就公开吧,我博客也好久没有漏洞类文章了.所以说做人还是不能太向钱,有漏洞为什么不直接提给厂商呢?为什么不公开呢?是贪婪让我变得面目全非XD. 事先说明,这个洞其实很鸡肋. 0x01 漏洞详情 版本:5.1.25 影响方法:insert

前言 前段时间,晴天师傅在朋友圈发了一张ThinkPHP 注入的截图.最近几天忙于找工作的事情,没来得及看.趁着中午赶紧搭起环境分析一波.Think PHP就不介绍了,搞PHP的都应该知道. 环境搭建   本文中的测试环境为ThinkPHP 5.0.15的版本.下载,解压好以后,开始配置.首先开启debug,方便定位问题所在.修改application\config.php, app_debug和app_trace都改成true.然后创建数据库,并且修改application\database.

ThinkPHP Builder.php SQL注入漏洞(<= 3.2.3) ref:https://www.jianshu.com/p/18d06277161e TimeSHU 2018.04.21 02:03* 字数 761 阅读 23评论 2喜欢 0 ThinkPHP Builder.php SQL注入漏洞(<= 3.2.3)的一次漏洞复现作业 ------------------------------------------------------------- 1.进入docker

如下controller即可触发SQL注入: code 区域 public function test() { $uname = I('get.uname'); $u = M('user')->where(array( 'uname' => $uname ))->find(); dump($u); } 为什么?我们看看代码.我从github下载的最新源码:https://github.com/liu21st/thinkphp/ThinkPHP/Library/Think/Db/Drive

地址:http://xx.com/index.php/Admin.php?s=/User/Public/check payload:act=verify&username[0]=='1')) AND UPDATEXML(6026,CONCAT(0x2e0x7167656371,(SELECT (CASE WHEN (6026=6026) THEN 1 ELSE 0 END)),0x716e726771),8197)-- 1between&username[1]=CN000001&p

目录 分析 总结 分析 首先看一下控制器,功能是根据用户传来的id,修改对应用户的密码. 13行把用户传来的id参数送入where()作为SQL语句中的WHERE语句,将pwd参数送入save()作为UPDATE语句. 这里我们假设请求id参数为array("bind","aaa"),pwd参数为bbb. 其中11行12行的意思是获取id.pwd参数,并通过I函数进行过滤.我们跟进一下I() 可以看到,这里首先对参数进行htmlspecialchars过滤,然后在最

目录 环境搭建 分析 参考 环境搭建 $ composer create-project topthink/think thinkphp-5.1.7 修改composer.json 5.1.* => 5.1.7 $ composer update 分析 这个注入点与5.0.15的注入点位置都在parseData里,都是在解析set-data时直接将用户完全控制的data拼接到SQL语句中. 下面来看漏洞点,首先根据Github的commit记录进行定位 可以看到这里直接删除了default语句块

版本过多只分析大版本和使用人数较多的版本目前使用人数最多的3.2.3.审计时也是发现多个版本未公开漏洞 测试环境:  Mysql5.6/PHP5.5 首先明确的是在不使用PDO做参数绑定时ThinkPHP全版本都可能存在宽字节注入. 黑盒检测方法:输入于头字节大于7F测试数据例如: %88%5c%27%5eupdatexml(1,concat(0x7e,database()),3)%23 (%5e 后跟任意T-SQL语句) 白盒检测方法 全局搜索默认格式是否被设置GBK 'DEFAULT_CHA

//注入的产生一般都是对用户输入的参数未做任何处理直接对条件和语句进行拼装. //不安全的写法举例1 $_GET['id']=8;//希望得到的是正整数 $data=M('Member')->where('id='.$_GET['id'])->find(); $_GET['id']='8 or status=1';//隐患:构造畸形查询条件进行注入; //安全的替换写法 $data=M('Member')->where(array('id'=>$_GET['id']))->f

漏洞demo: public function inc() { $username = request()->get('name/a'); db('user')->insert(['name' => $username]); return 'Update success'; } 首先看TP的数据获取:$username = request()->get('name/a'); request(助手函数就是获取thinkphp/library/think/Request.php 的实例

当我们使用传统的 mysql_connect .mysql_query方法来连接查询数据库时,如果过滤不严,就有SQL注入风险,导致网站被攻击,失去控制.虽然可以用mysql_real_escape_string()函数过滤用户提交的值,但是也有缺陷.而使用PHP的PDO扩展的 prepare 方法,就可以避免 sql injection 风险. PDO(PHP Data Object) 是PHP5新加入的一个重大功能,因为在PHP 5以前的php4/php3都是一堆的数据库扩展来跟各个数据库的

测试url: http://127.0.0.1/thinkphp/thinkphp_5.1.24/public/index.php/index/index/sqli2?id=2 控制器是获取id参数作为进行聚合查询的字段名,如下图所示 看一下存在漏洞的parseKey方法 可以看到,这里直接在$key的前后加上反引号就直接返回了.根据前面几个漏洞的分析我们可以知道parseKey是用来解析字段名的.对于insert和update之类的数据,程序一般是字段名固定,数据和where语句的等于号之后的

分析 与上一个漏洞类似,这个也是前端可以传入一个数组变量,如['exp','123','123'],后端根据array[0]来将array[1]和array[2]直接拼接到SQL语句中. 由于TP只是框架,为了保证应用业务正常运行,不能为主应用做过多的安全防御(如转义.去除危险字符等). 上一个漏洞点存在于处理where语句的parseWhere()处,而这个点则在处理insert和set的data的parseData()处. 本文以insert为例,首先payload如下: http://12

D:\wamp64\www\thinkphp5.1\tp5.1\application\index\controller\Demo1.php文件 <?php namespace app\index\controller; /** *容器与依赖注入的原理 * 1.任何的URL访问,最终都是定位到控制器,由控制器中某个具体的方法去执行 * 2.一个控制器对应着一个类,如果这些类需要进行统一管理,怎么办? * 容器进行类管理,还可以将类的实例(对象)作为参数,传递给类方法,自动触发依赖注入 * 依赖注

thinkphp使用ajax和之前使用ajax的方法一样,不同点在于之前的ajax中的url指向了一个页面,而thinkphp里面的url需要指向一个操作方法. 一.thinkphp使用ajax返回数据 1.先在Admin\Controller\MainController.class.php里面写一个方法 public function testajax()//ajax测试方法 { $this->show(); } 2.在Admin\View\Main文件夹里面建对应的显示页面testajax