188新闻网,用新的角度分析社会现象,不同的角度感受不一样的新闻内容。
分享到:
您的位置:首页 > 汽车 > 正文

ThinkPHP 5.0.* 远程命令执行漏洞预警

2019/01/11 19:39:22 来源:网络
ThinkPHP 5.0.* 远程命令执行漏洞预警

原文http://www.1885888.com/0×00 事件背景

2019 年 1 月 11 日,360CERT 发现某安全社区出现关于 ThinkPHP5 RCE 漏洞的威胁情报,不久之后 ThinkPHP5 官方与 GitHub 发布更新。该更新修复了一处严重漏洞,该漏洞可导致远程命令代码执行。

0×01 影响范围

ThinkPHP 5.0.x:5.0.x ~ 5.0.23

说明1885888.com0×02 修复建议

官方在 GitHub 中进行了更新:版本更新

升级代码到最新版本 5.0.24

同时建议用户在线上环境中关闭 debug 模式

0×03 修复建议

该漏洞危害高,影响严重:

0×04 漏洞分析

ThinkPHP 5.0.* 远程命令执行漏洞预警漏洞主要出现在 ThinkPHPRequest 类的 method 方法中 (thinkphp/library/think/Request.php)

Request 类可以实现对 HTTP 请求的一些设置,其中成员方法 method 用来获取当前请求类型,其定义如下:

当传入的参数为 false 的时候,会取配置项 var_method,其默认值为_method

$this->{$this->method}($_POST); 通过 post 参数_method 可以实现对当前类的任意方法进行调用。ThinkPHP 5.0.* 远程命令执行漏洞预警

通过调用当前类的构造方法可以覆盖任意成员属性的值:

这里通过覆盖 filter 属性,filter 属性保存了用于全局过滤的函数。

但是在 thinkphp5.0.23 中,会对 filter 值重新赋值为空,导致无法利用。

阅读1885888.com

在 thinkphp/library/think/App.php 中开启 debug 的时候会调用 Request 类的 param 方法。

在 thinkphp/library/think/Request.php param 方法中会调用到 method 方法, 并将参数设置为 true。

当参数为 true 的时候,会调用 server 方法

推荐1885888.com

会走到 input 方法,通过之前方法覆盖 server 成员属性值为 array(),input 方法代码如下:

最终会调用 filterValue 形成任意代码执行:

0×05 时间线

2019-01-11 360CERT 发现漏洞威胁情报

2019-01-11 ThinkPHP 发布补丁更新

2019-01-11 360CERT 发布预警分析

0×06 参考链接

ThinkPHP5 github 更新

https://github.com/top-think/framework/commit/4a4b5e64fa4c46f851b4004005bff5f3196de003

版权http://www.1885888.com/*本文作者:360安全卫士,转载请注明来自FreeBuf.COM


网 址:http://www.1885888.com/html/26010916.html
首 发:ThinkPHP 5.0.* 远程命令执行漏洞预警
  • 吉利缤越上市首月,订单超30000辆

    吉利缤越天生好底子源自BMA全球模块化架构同级更强动力总成更大化的驾乘空间利用以及更先进的智能驾驶上市首月,订单超30000辆

  • 9年蝉联SUV销冠 哈弗军团2018销量喜人

    2018年车市冬天格外寒冷,大部分车企表现低迷,然而“车市常青树”长城汽车依旧表现强劲。2018年12月长城汽车销量再创新高,达13.38万辆,2018年销售105.30万辆,连续三年突破百万销量。“SUV领导者”哈弗销售76.61万辆,连续9年蝉联中国SUV销量冠军!中国豪华SUV领导者WEY销售13.95万辆,领衔中国豪华SUV!长城皮卡销售13.80万辆,蝉联皮卡销量王!国民神车持续升级产品实力经久不衰长城汽车取得如此傲人业绩,与哈弗品牌的成功密不可分。国民神车哈弗H6累计67个月销量第一

  • 延续家族风格 雪佛兰科鲁泽内饰官图发布

    来源搜狐汽车综合日前,上汽通用官方发布了全新紧凑型车——雪佛兰科鲁泽的内饰官图,新车要更偏运动定位。根据此前的报道,新车将于2019年内正式上市。从此次发布的内饰官图来看,新车内部采用了雪佛兰家族的飞翼式座舱设计,看上去与科沃兹、科鲁兹非常类似,环抱式的中控台设计试图增加车内的横向空间感。新车仪表盘则采用了双炮桶式设计,看上去比较动感。中控液晶屏尺寸为8英寸并集成最新的MyLink+智联系统,内建高德地图等常用APP,并支持手机互联。根据此前发布的外观来看,未来科鲁泽将有Redline尚·红和R

  • 领克04更多信息曝光,会在今年上市

    捷豹路虎2018年全球累计销量近60万辆根据捷豹路虎官方公布的销量数据显示,2018年捷豹路虎全球零售量达592708辆,较2017年的销量下降4.6%。而在其各个主要销售地区表现方面,2018年全年,捷豹路虎在中国市场的销量下降了21.6%;在英国和欧洲地区销量分别下降了1.5%和7.8%;北美地区和其他海外市场销量分别增长了7.2%和7.3%;2018年12月份,捷豹路虎在中国市场和其他海外的销量分别下跌42.6%和9.6%;而在北美市场、英国以及欧洲地区销量分别增长了21.4%、7.6%和

  • 全新一代奥迪A6L正式上市 售41.78

    2019年1月15日,全新一代奥迪A6L正式上市,新车共推出三种动力共计12款车型,售价区间为41.78-66.68万元。(配图为进口版车型)外观方面,国产全新一代奥迪A6L外观与海外版基本保持一致,但在轴距方面有所加长。新车前脸采用奥迪最新的六边形进气格栅,给人的运动感觉十分强烈。车尾方面则采用了一根镀铬饰条贯穿两侧尾灯的设计,加宽视觉效果的同时,又多了一份品质感。(配图为进口版车型)内饰方面,国产全新一代奥迪A6L沿用了海外版原汁原味的内饰设计。中控台造型棱角分明,再配合大量类似金属镀铬饰条

  • 威马汽车携手百度加速自动驾驶普及进程,持续打造智行新生态

    随着智能电动汽车普及者目标的逐步实现,威马汽车不断夯实正向研发基础,拓展全球化前瞻布局,加速进化为“数据高效驱动的智能硬件公司”,同时在为成为智慧出行新生态的服务商打下更坚实的基础。旨在为用户提供全方位便捷舒适的智慧出行体验,不断满足人们对智慧出行的追求。2019年1月8日(美国西部时间),在美国拉斯维加斯举行的CES展会上,威马汽车和百度宣布达成战略合作。根据战略合作协议内容,双方将在L3及L4级别自动驾驶解决方案领域达成长期战略合作伙伴关系,并成立“威马&Apollo智能汽车联合技术研发中心

  • 丰田这款颜值高又省油的车型,在国外卖断货!在中国却没人买?

    文她在开啥车丰田汽车在我国的群众影响力之深,在沿海及两广地区的保有量就能窥见一斑。因此丰田每次要推出新车型时往往都不会发愁,即使全球销量不济,总有中国市场买账。唯独有这么一款车,无论配置再好,外观再酷炫,在国外曾一度卖断货,到了中国却一反常态,基本上没有卖出多少辆。这说的就是启发了卡罗拉双擎和凯美瑞混动技术的普锐斯。据车车君所知,普锐斯最近发布了新款车型,尽管在外观上保持了和原先差不多的设计,但重要的变化全部体现在内饰和动力上。中控台换成了大尺寸的纵向屏幕,比现款更动感。而动力搭载1.8L发动机

  • “大大送车,全民抢油”大通G10大大有惠飓风来袭

    从6月5日起至8月5日期间,上汽大通G10将开展夏日购车大大有惠活动。活动期间,凡购买大通G10所有车型的用户,即可参与“三成首付购车,18个月0利息”的特权,还可享受加1元最高抵扣万元的优惠抵扣。与此同时,线上注册可参与“抢购半价车”、“线上抢油”的狂欢活动。四重豪礼齐放送,钜惠购车放心享。自2014年上市以来,上汽大通G10始终以领先同级的创新动力和科技配置成为MPV车市场的明星车型,销量与口碑双丰收。同时,上汽大通G10连续成为G20峰会、APEC、大阅兵等多个国家级重要场合指定用车,为与