紧迫 | ThinkPHP远程下令执行高危误差，尊龙凯时提供解决计划
宣布时间 2018-12-12
ThinkPHP是一个快速、兼容并且简朴的轻量级国产PHP开发框架，降生于2006年头，原名FCS，2007年元旦正式更名为ThinkPHP，遵照Apache2开源协议宣布，使用面向工具的开发结构和MVC模式，融合了Struts的头脑和TagLib（标签库）、RoR的ORM映射和ActiveRecord模式,该框架海内应用很是普遍。
2018年12月9日，ThinkPHP团队宣布了一个补丁更新（https://blog.thinkphp.cn/869075），修复了一处由于路由剖析缺陷导致的代码执行误差。该误差危害水平很是高，默认情形设置即可导致远程代码执行。由于ThinkPHP获取控制器名没有对参数举行足够的检测，在没有开启轻质路由的情形下，攻击者可以通过控制输入字符的方法挪用恣意要领，抵达远程执行下令的目的。该误差在开启强制路由的情形下不受影响（默认不开启）。
详细内容可参考ADLab剖析：
https://mp.weixin.qq.com/s/XBcoT5ypV2cJ-Q09RS8JRA
误差影响版本：
5.1.x - 5.1.31
5.0.x - 5.0.23
误差验证：
◆ 官方建议
受影响用户可将5.0.x版本升级到5.0.23，将5.1.x版本升级到5.1.31以消除误差影响。
官方现已推出补丁，建议开发者举行修复：
5.0版本（https://github.com/top-think/framework/commit/b797d72352e6b4eb0e11b6bc2a2ef25907b7756f）：
在think\route\dispatch\Url类的parseUrl要领，剖析控制器后加上代码：
◆ 误差扫描：
尊龙凯时天镜懦弱性扫描与治理系统V6.0于2018年12月12日紧迫宣布针对该误差的升级包，支持对该误差举行检测，用户升级天镜漏扫产品误差库后即可对该误差举行扫描。6070版本升级包为607000192，升级包下载地点：
/article/type/1/146.html
请天镜懦弱性扫描与治理系统V6.0产品的用户尽快升级到最新版本，实时对该误差举行检测，以便尽快接纳提防步伐。
◆ 产品检测与防护
已安排尊龙凯时IDS、IPS、WAF产品的客户请确认如下事务规则已经下发并应用，既可有用检测或阻断攻击。
事务名称：HTTP_ThinkPHP5远程代码执行误差
2018年12月9日，ThinkPHP团队宣布了一个补丁更新（https://blog.thinkphp.cn/869075），修复了一处由于路由剖析缺陷导致的代码执行误差。该误差危害水平很是高，默认情形设置即可导致远程代码执行。由于ThinkPHP获取控制器名没有对参数举行足够的检测，在没有开启轻质路由的情形下，攻击者可以通过控制输入字符的方法挪用恣意要领，抵达远程执行下令的目的。该误差在开启强制路由的情形下不受影响（默认不开启）。
详细内容可参考ADLab剖析：
https://mp.weixin.qq.com/s/XBcoT5ypV2cJ-Q09RS8JRA
误差影响版本：
5.1.x - 5.1.31
5.0.x - 5.0.23
误差验证：
◆ 官方建议
受影响用户可将5.0.x版本升级到5.0.23，将5.1.x版本升级到5.1.31以消除误差影响。
官方现已推出补丁，建议开发者举行修复：
5.0版本（https://github.com/top-think/framework/commit/b797d72352e6b4eb0e11b6bc2a2ef25907b7756f）：
在think\App类的module要领获取控制器的代码后面加上一下代码：
5.1版本（https://github.com/top-think/framework/commit/802f284bec821a608e7543d91126abc5901b2815）：
在think\route\dispatch\Url类的parseUrl要领，剖析控制器后加上代码：
◆ 误差扫描：
尊龙凯时天镜懦弱性扫描与治理系统V6.0于2018年12月12日紧迫宣布针对该误差的升级包，支持对该误差举行检测，用户升级天镜漏扫产品误差库后即可对该误差举行扫描。6070版本升级包为607000192，升级包下载地点：
/article/type/1/146.html
请天镜懦弱性扫描与治理系统V6.0产品的用户尽快升级到最新版本，实时对该误差举行检测，以便尽快接纳提防步伐。
◆ 产品检测与防护
已安排尊龙凯时IDS、IPS、WAF产品的客户请确认如下事务规则已经下发并应用，既可有用检测或阻断攻击。
事务名称：HTTP_ThinkPHP5远程代码执行误差
天阗入侵检测与治理系统报警截图
天清入侵防御系统报警截图
天清Web应用清静网关报警截图
京公网安备11010802024551号