ThinkPHP是一个国内使用很广泛的老牌PHP MVC框架。貌似国内有不少创业公司或者项目都用了这个框架。 最近官方发布了一个安全补丁,官方表述是:该URL安全漏洞会造成用户在客户端伪造URL,执行非法代码。 125 - $res = preg_replace('@(w+)'.$depr.'([^'.$depr.'/]+)@e', '$var['1']="2";', implode($depr,$paths)); 125 + $res = preg_replace('@(w+)'.$depr.'([^'.$depr.'/]+)@e', '$var['1']='2';', implode($depr,$paths)); 这个代码是把pathinfo当作restful类型url进行解析的,主要作用是把pathinfo中的数据解析并合并到$_GET数组中。 然而在用正则解析pathinfo的时候,主要是这一句: $res = preg_replace('@(w+)'.$depr.'([^'.$depr.'/]+)@e', '$var['1']="2";', implode($depr,$paths)); '$var['1']="2";' index.php/module/action/param1/${@print(THINK_VERSION)} 总之这个问题非常严重,找了一下,发现目前没有修补漏洞的网站还是很多的。而ThinkPHP框架的特征其实非常好识别,有意者直接写个scanner进行扫描也未必不可能。 为了不造成更大损失,特地发帖希望引起各位使用thinkphp做开发的同学关注
|
正在阅读:ThinkPHP framework 代码执行漏洞预警ThinkPHP framework 代码执行漏洞预警
2017-03-28 09:46
出处:其他
责任编辑:wenjunhao
- 软件版本:4.6.1 正式版
- 软件大小:62.41MB
- 软件授权:免费
- 适用平台: WinXP Win2003 Vista Win8 Win7
- 下载地址://dl.pconline.com.cn/download/54972.html
相关文章
.net framework 4.0安装失败怎么办 net framework 4.0安装成功教程
.net framework 4.5.2怎么安装 .net framework 4.5.2安装方法
.net framework版本怎么看 查看.net framework版本的方法
.net framework 4.0如何安装 .Net Framework4.0安装方法
microsoft.net framework如何退回老版本 .net framework退回老版本的方法
microsoft .net framework怎么更新 microsoft .net framework更新的教程
microsoft.net framework怎么查看版本 .net framework查看版本的方法
microsoft .net framework如何卸载 microsoft .net framework快速卸载方法
microsoft .net framework如何安装 microsoft .net framework安装教程
.net framework 3.5怎么卸载Windows10卸载net framework 3.5的方法