垂危 | ThinkPHP远程号令执行高危缝隙，，OG东方厅提供解决规划

颁布功夫 2018-12-12
ThinkPHP是一个急剧 、、、兼容并且单一的轻量级国产PHP开发框架，，诞生于2006岁首，，原名FCS，，2007年元旦正式改名为ThinkPHP，，遵循Apache2开源和谈颁布，，使用面向对象的开发结构和MVC模式，，融合了Struts的思想和TagLib（标签库） 、、、RoR的ORM映射和ActiveRecord模式,该框架国内利用极度宽泛。


2018年12月9日，，ThinkPHP团队颁布了一个补丁更新（https://blog.thinkphp.cn/869075），，修复了一处由于路由解析缺点导致的代码执行缝隙。该缝隙�：：λ郊雀撸匣肪撑渲眉纯傻贾略冻檀胫葱小Ｓ捎赥hinkPHP获取节制器名没有对参数进行足够的检测，，在没有开启轻质路由的情况下，，攻击者能够通过节制输入字符的方式挪用肆意步骤，，达到远程执行号令的主张。该缝隙在开启强制路由的情况下不受影响（默认不开启）。


具体内容可参考ADLab分析：：
https://mp.weixin.qq.com/s/XBcoT5ypV2cJ-Q09RS8JRA


 缝隙影响版本：：


5.1.x - 5.1.31
5.0.x - 5.0.23


 缝隙验证：：
 
OG东方厅·(中国大陆)



 解决规划：：


◆ 官方建议


受影响用户可将5.0.x版本升级到5.0.23，，将5.1.x版本升级到5.1.31以解除缝隙影响。


官方现已推出补丁，，建议开发者进行修复：：


5.0版本（https://github.com/top-think/framework/commit/b797d72352e6b4eb0e11b6bc2a2ef25907b7756f）：：



在think\App类的module步骤获取节制器的代码后面加上一下代码：：

OG东方厅·(中国大陆)



5.1版本（https://github.com/top-think/framework/commit/802f284bec821a608e7543d91126abc5901b2815）：：



在think\route\dispatch\Url类的parseUrl步骤，，解析节制器后加上代码：：

OG东方厅·(中国大陆)


◆ 缝隙扫描：：


OG东方厅天镜脆弱性扫描与治理系统V6.0于2018年12月12日垂危颁布针对该缝隙的升级包，，支持对该缝隙进行检测，，用户升级天镜漏扫产品缝隙库后即可对该缝隙进行扫描。6070版本升级包为607000192，，升级包下载地址：：
/article/type/1/146.html


请天镜脆弱性扫描与治理系统V6.0产品的用户尽快升级到最新版本，，实时对该缝隙进行检测，，以便尽快采取防备措施。
 
OG东方厅·(中国大陆)



◆ 产品检测与防护


已部署OG东方厅IDS 、、、IPS 、、、WAF产品的客户请确认如下事务规定已经下发并利用，，既可有效检测或阻断攻击。


事务名称：：HTTP_ThinkPHP5远程代码执行缝隙
 
OG东方厅·(中国大陆)

天阗入侵检测与治理系统报警截图
 
OG东方厅·(中国大陆)

天清入侵防御系统报警截图

 
OG东方厅·(中国大陆)

天清Web利用安全网关报警截图