紧迫 | ThinkPHP远程下令执行高危误差，，， ，，，，Z6尊龙凯时提供解决计划

宣布时间 2018-12-12
ThinkPHP是一个快速、兼容并且简朴的轻量级国产PHP开发框架，，， ，，，，降生于2006年头，，， ，，，，原名FCS，，， ，，，，2007年元旦正式更名为ThinkPHP，，， ，，，，遵照Apache2开源协议宣布，，， ，，，，使用面向工具的开发结构和MVC模式，，， ，，，，融合了Struts的头脑和TagLib（标签库）、RoR的ORM映射和ActiveRecord模式,该框架海内应用很是普遍。。。。。


2018年12月9日，，， ，，，，ThinkPHP团队宣布了一个补丁更新（https://blog.thinkphp.cn/869075），，， ，，，，修复了一处由于路由剖析缺陷导致的代码执行误差。。。。。该误差危害水平很是高，，， ，，，，默认情形设置即可导致远程代码执行。。。。。由于ThinkPHP获取控制器名没有对参数举行足够的检测，，， ，，，，在没有开启轻质路由的情形下，，， ，，，，攻击者可以通过控制输入字符的方法挪用恣意要领，，， ，，，，抵达远程执行下令的目的。。。。。该误差在开启强制路由的情形下不受影响（默认不开启）。。。。。


详细内容可参考ADLab剖析：
https://mp.weixin.qq.com/s/XBcoT5ypV2cJ-Q09RS8JRA


 误差影响版本：


5.1.x - 5.1.31
5.0.x - 5.0.23


 误差验证：
 
Z6·尊龙凯时「中国区」官方网站



 解决计划：


◆ 官方建议


受影响用户可将5.0.x版本升级到5.0.23，，， ，，，，将5.1.x版本升级到5.1.31以消除误差影响。。。。。


官方现已推出补丁，，， ，，，，建议开发者举行修复：


5.0版本（https://github.com/top-think/framework/commit/b797d72352e6b4eb0e11b6bc2a2ef25907b7756f）：



在think\App类的module要领获取控制器的代码后面加上一下代码：

Z6·尊龙凯时「中国区」官方网站



5.1版本（https://github.com/top-think/framework/commit/802f284bec821a608e7543d91126abc5901b2815）：



在think\route\dispatch\Url类的parseUrl要领，，， ，，，，剖析控制器后加上代码：

Z6·尊龙凯时「中国区」官方网站


◆ 误差扫描：


Z6尊龙凯时天镜懦弱性扫描与治理系统V6.0于2018年12月12日紧迫宣布针对该误差的升级包，，， ，，，，支持对该误差举行检测，，， ，，，，用户升级天镜漏扫产品误差库后即可对该误差举行扫描。。。。。6070版本升级包为607000192，，， ，，，，升级包下载地点：
/article/type/1/146.html


请天镜懦弱性扫描与治理系统V6.0产品的用户尽快升级到最新版本，，， ，，，，实时对该误差举行检测，，， ，，，，以便尽快接纳提防步伐。。。。。
 
Z6·尊龙凯时「中国区」官方网站



◆ 产品检测与防护


已安排Z6尊龙凯时IDS、IPS、WAF产品的客户请确认如下事务规则已经下发并应用，，， ，，，，既可有用检测或阻断攻击。。。。。


事务名称：HTTP_ThinkPHP5远程代码执行误差
 
Z6·尊龙凯时「中国区」官方网站

天阗入侵检测与治理系统报警截图
 
Z6·尊龙凯时「中国区」官方网站

天清入侵防御系统报警截图

 
Z6·尊龙凯时「中国区」官方网站

天清Web应用清静网关报警截图