案例展示 Case demonstration

秒速赛车客服


秒速赛车ThinkPHP框架爆致命漏洞 360建议网站快打

周期:

服务内容:

简介:个中,代码中$paths为URI处分到结尾变量取值个人,通过/切割后实行正则替代,个中\1为变量名,\2为立室到的变量值,而这个地方用到了双引号来解析PHP变量进举措态赋值,导致黑客可

关键词:秒速赛车

网站:

  个中,代码中$paths为URI处分到结尾变量取值个人,通过“/”切割后实行正则替代,个中\1为变量名,\2为立室到的变量值,而这个地方用到了双引号来解析PHP变量进举措态赋值,导致黑客可能运用极少攻击技能通过局限变量值的形式直接实行随便PHP代码(如图3、图4所示),以是官方补丁将这对双引号改为单引号(如图2所示)

  ThinkPHP是一款具有6年史册的精良开源PHP框架,自2006年成立以还,操纵者渐渐普遍电子商务、教导培训、金融、政府等众个范围,网罗大型派别网站逛戏论坛、有名打扮品牌网上商城等,都利用该PHP框架搭修。即使此前ThinkPHP官方已宣告修复URI欠缺的补丁,却未惹起网站照料者的广大珍重,至今仍有多量网站所以存正在被黑危急。

  360网站安好检测平台理解以为,该欠缺源自ThinkPHP框架拾掇URI变量的流程:源码此处补丁的是一个perg_replace函数,此函数用于实行正则外达式的搜寻和替代,由于第一个参数借使利用了“e”藻饰符,那么第二个参数将会被当做PHP代码实行。

  鉴于该欠缺笼罩用户群体的普通性及破坏的重要性,360网站安好检测第偶尔间参加了检测准则,并遵照差别“URL_MODEL”设立情形下的各式传参形式都实行了细密的准则定制,可能确实有用地发明利用ThinkPHP站点的安好欠缺。秒速赛车

  4月13日新闻,日前乌云欠缺陈说平台爆料称,ThinkPHP框架存正在“URI取值随便代码实行”欠缺(),黑客可借此正在网站上实行随便PHP代码,乃至获取供职器照料员权限,同正在此供职器上的其他网站也可以受到连累。对此,360网站安好检测平台第偶尔间参加检测准则,并向存正在该欠缺的网站发送了报警邮件及修复提议。

  目前,360网站安好检测平台已向存正在欠缺的网站发送了报警邮件,同时提议全部未升级的ThinkPHP用户随即下载装置官方补丁,或直接升级ThinkPHP官方最新版本,以规避攻击威逼。

  360网站安好检测平台是邦内首个集网站欠缺检测网站挂马监控网站窜改监控于一体的免费检测平台,具有周至的网站欠缺库及蜜罐集群检测体系,或许第偶尔间协助网站检测修复欠缺。2011年,360网站安好监测平台曾协同360团购导航,为邦内数百家主流团购网站供应了免费网站欠缺检测供职并供应修复提议,升高了团购网站合座安好秤谌。