ThinkPHP 5.0版本 SQL注入漏洞分析

前段时间，ThinkPHP发布了V5.0.16版本的release，该版本提到了安全更新。本篇文章以此次安全更新入手，对ThinkPHP 5.0版本 SQL注入漏洞进行了详细分析。文末还有测试小问题，看看大家get到这个漏洞的精髓了吗？

前言

Thinkphp V5.0.16版本的release说明如下：

说明中提到了安全更新，但并没有提到是什么安全问题。

V5.0.16的commits记录如下，可以看到在3月26日出现了一个关于安全性的提交，但26日似乎没有一次性改好，在27日又对这个inc/dec查询改动了一次

接下来看下这个inc/dec查询到底有什么问题，需要一改再改。

漏洞分析

先看下26日改了什么

再看看27日改了什么

改动都在Builder.php这个文件的相同位置，而且反反复复的折腾的，就是$val[1]这个变量。

接下来看看完整的函数部分，看看$val[1]到底怎么了。

漏洞部分在parseData函数

protected function parseData($data, $options)
{
    if (empty($data)) {
        return [];
    }

    // 获取绑定信息
    $bind = $this->query->getFieldsBind($options['table']);
    if ('*' == $options['field']) {
        $fields = array_keys($bind);
    } else {
        $fields = $options['field'];
    }

    $result = [];
    foreach ($data as $key => $val) {
        $item = $this->parseKey($key, $options);
        if (is_object($val) &&method_exists($val, '__toString')) {
            // 对象数据写入
            $val = $val->__toString();
        }
        if (false === strpos($key, '.') && !in_array($key, $fields, true)) {
            if ($options['strict']) {
                throw new Exception('fields not exists:[' . $key . ']');
            }
        } elseif (is_null($val)) {
            $result[$item] = 'NULL';
        } elseif (is_array($val) && !empty($val)) {

            switch ($val[0]) {

                case 'exp':
                    $result[$item]= $val[1] . '+' . floatval($val[2]);
                    break;
                case 'inc':
                    $result[$item]= $this->parseKey($val[1]) . '+' . floatval($val[2]);
                    break;
                case 'dec':
                    $result[$item]= $this->parseKey($val[1]) . '-' . floatval($val[2]);
                    break;
            }
        } elseif (is_scalar($val)) {
            // 过滤非标量数据
            if (0 === strpos($val, ':') &&$this->query->isBind(substr($val, 1))) {
                $result[$item] = $val;
            } else {
                $key = str_replace('.', '_', $key);
                $this->query->bind('data__' . $key, $val, isset($bind[$key])? $bind[$key]: PDO::PARAM_STR);
                $result[$item] = ':data__' . $key;
            }
        }
    }
    return $result;
}

可以看出这个方法是用来传入的字典类型$data数据的，具体传入的$data是什么，还需要进一步分析。

先不管调用关系，单单看这个方法，在处理$data的value时，会分情况处理，