(028)61831184 iservice@uestc.edu.cn
信息安全
ThinkPHP5.版本存在远程代码执行漏洞
发布于:2018-12-14 11:50:29   |   作者:   |   浏览次数:

近日,ThinkPHP官方(ThinkPHP是一个快速、兼容而且简单的轻量级国产PHP开发框架)发布安全更新,用于修复一个严重的远程代码执行漏洞。此次版本更新主要涉及一个安全更新,由于框架对控制器名没有进行足够的检测,会导致在没有开启强制路由的情况下引发黑客执行远程恶意代码,从而获取权限。

一、基本情况

远程代码执行漏洞是用户通过浏览器提交执行命令,由于服务器端没有针对执行函数做过滤,导致在没有指定绝对路径的情况下就执行命令,可能会允许攻击者通过改变 $PATH或程序执行环境的其他方面来执行一个恶意构造的代码。

经过对官方补丁分析,发现该程序未对控制器进行过滤,导致攻击者可以通过引入\符号来调用任意类方法,从而执行任意命令。

二、影响范围

ThinkPHP5.0

ThinkPHP5.1

三、修复建议

1. 升级版本至最新版本:当前ThinkPHP官方已经发布补丁,升级至最新版本修复该漏洞问题。

l ThinkPHP5.0.X版本,升级至最新的5.0.23版本,完整版本下载地址:

https://github.com/top-think/framework/tree/v5.0.23

http://www.thinkphp.cn/donate/download/id/1278.html

l ThinkPHP5.1.X版本,升级至最新的5.1.31版本,完整版本下载地址:

https://github.com/top-think/framework/tree/v5.1.31

      2.如果暂时无法更新到最新版本,可以参考官方版本库代码记录,自行增加相关代码。官方参考链接:https://blog.thinkphp.cn/869075