紧迫 | ThinkPHP远程下令执行高危误差，，，，， ，，鉴黑担保网提供解决计划
宣布时间 2018-12-12
ThinkPHP是一个快速、兼容并且简朴的轻量级国产PHP开发框架，，，，， ，，降生于2006年头，，，，， ，，原名FCS，，，，， ，，2007年元旦正式更名为ThinkPHP，，，，， ，，遵照Apache2开源协议宣布，，，，， ，，使用面向工具的开发结构和MVC模式，，，，， ，，融合了Struts的头脑和TagLib（标签库）、RoR的ORM映射和ActiveRecord模式,该框架海内应用很是普遍。。。
2018年12月9日，，，，， ，，ThinkPHP团队宣布了一个补丁更新（https://blog.thinkphp.cn/869075），，，，， ，，修复了一处由于路由剖析缺陷导致的代码执行误差。。。该误差危害水平很是高，，，，， ，，默认情形设置即可导致远程代码执行。。。由于ThinkPHP获取控制器名没有对参数举行足够的检测，，，，， ，，在没有开启轻质路由的情形下，，，，， ，，攻击者可以通过控制输入字符的方法挪用恣意要领，，，，， ，，抵达远程执行下令的目的。。。该误差在开启强制路由的情形下不受影响（默认不开启）。。。
详细内容可参考ADLab剖析：
https://mp.weixin.qq.com/s/XBcoT5ypV2cJ-Q09RS8JRA
误差影响版本：
5.1.x - 5.1.31
5.0.x - 5.0.23
误差验证：
◆ 官方建议
受影响用户可将5.0.x版本升级到5.0.23，，，，， ，，将5.1.x版本升级到5.1.31以消除误差影响。。。
官方现已推出补丁，，，，， ，，建议开发者举行修复：
5.0版本（https://github.com/top-think/framework/commit/b797d72352e6b4eb0e11b6bc2a2ef25907b7756f）：
在think\route\dispatch\Url类的parseUrl要领，，，，， ，，剖析控制器后加上代码：
◆ 误差扫描：
鉴黑担保网天镜懦弱性扫描与治理系统V6.0于2018年12月12日紧迫宣布针对该误差的升级包，，，，， ，，支持对该误差举行检测，，，，， ，，用户升级天镜漏扫产品误差库后即可对该误差举行扫描。。。6070版本升级包为607000192，，，，， ，，升级包下载地点：
/article/type/1/146.html
请天镜懦弱性扫描与治理系统V6.0产品的用户尽快升级到最新版本，，，，， ，，实时对该误差举行检测，，，，， ，，以便尽快接纳提防步伐。。。
◆ 产品检测与防护
已安排鉴黑担保网IDS、IPS、WAF产品的客户请确认如下事务规则已经下发并应用，，，，， ，，既可有用检测或阻断攻击。。。
事务名称：HTTP_ThinkPHP5远程代码执行误差
2018年12月9日，，，，， ，，ThinkPHP团队宣布了一个补丁更新（https://blog.thinkphp.cn/869075），，，，， ，，修复了一处由于路由剖析缺陷导致的代码执行误差。。。该误差危害水平很是高，，，，， ，，默认情形设置即可导致远程代码执行。。。由于ThinkPHP获取控制器名没有对参数举行足够的检测，，，，， ，，在没有开启轻质路由的情形下，，，，， ，，攻击者可以通过控制输入字符的方法挪用恣意要领，，，，， ，，抵达远程执行下令的目的。。。该误差在开启强制路由的情形下不受影响（默认不开启）。。。
详细内容可参考ADLab剖析：
https://mp.weixin.qq.com/s/XBcoT5ypV2cJ-Q09RS8JRA
误差影响版本：
5.1.x - 5.1.31
5.0.x - 5.0.23
误差验证：
◆ 官方建议
受影响用户可将5.0.x版本升级到5.0.23，，，，， ，，将5.1.x版本升级到5.1.31以消除误差影响。。。
官方现已推出补丁，，，，， ，，建议开发者举行修复：
5.0版本（https://github.com/top-think/framework/commit/b797d72352e6b4eb0e11b6bc2a2ef25907b7756f）：
在think\App类的module要领获取控制器的代码后面加上一下代码：
5.1版本（https://github.com/top-think/framework/commit/802f284bec821a608e7543d91126abc5901b2815）：
在think\route\dispatch\Url类的parseUrl要领，，，，， ，，剖析控制器后加上代码：
◆ 误差扫描：
鉴黑担保网天镜懦弱性扫描与治理系统V6.0于2018年12月12日紧迫宣布针对该误差的升级包，，，，， ，，支持对该误差举行检测，，，，， ，，用户升级天镜漏扫产品误差库后即可对该误差举行扫描。。。6070版本升级包为607000192，，，，， ，，升级包下载地点：
/article/type/1/146.html
请天镜懦弱性扫描与治理系统V6.0产品的用户尽快升级到最新版本，，，，， ，，实时对该误差举行检测，，，，， ，，以便尽快接纳提防步伐。。。
◆ 产品检测与防护
已安排鉴黑担保网IDS、IPS、WAF产品的客户请确认如下事务规则已经下发并应用，，，，， ，，既可有用检测或阻断攻击。。。
事务名称：HTTP_ThinkPHP5远程代码执行误差
天阗入侵检测与治理系统报警截图
天清入侵防御系统报警截图
天清Web应用清静网关报警截图
京公网安备11010802024551号