紧迫 | ThinkPHP远程下令执行高危误差，，人生就是博提供解决计划
宣布时间 2018-12-12
ThinkPHP是一个快速、兼容并且简朴的轻量级国产PHP开发框架，，降生于2006年头，，原名FCS，，2007年元旦正式更名为ThinkPHP，，遵照Apache2开源协议宣布，，使用面向工具的开发结构和MVC模式，，融合了Struts的头脑和TagLib（标签库）、RoR的ORM映射和ActiveRecord模式,该框架海内应用很是普遍。。。。。
2018年12月9日，，ThinkPHP团队宣布了一个补丁更新（https://blog.thinkphp.cn/869075），，修复了一处由于路由剖析缺陷导致的代码执行误差。。。。。该误差危害水平很是高，，默认情形设置即可导致远程代码执行。。。。。由于ThinkPHP获取控制器名没有对参数举行足够的检测，，在没有开启轻质路由的情形下，，攻击者可以通过控制输入字符的方法挪用恣意要领，，抵达远程执行下令的目的。。。。。该误差在开启强制路由的情形下不受影响（默认不开启）。。。。。
详细内容可参考ADLab剖析：
https://mp.weixin.qq.com/s/XBcoT5ypV2cJ-Q09RS8JRA
误差影响版本：
5.1.x - 5.1.31
5.0.x - 5.0.23
误差验证：
◆ 官方建议
受影响用户可将5.0.x版本升级到5.0.23，，将5.1.x版本升级到5.1.31以消除误差影响。。。。。
官方现已推出补丁！！�。。�，建议开发者举行修复：
5.0版本（https://github.com/top-think/framework/commit/b797d72352e6b4eb0e11b6bc2a2ef25907b7756f）：
在think\route\dispatch\Url类的parseUrl要领，，剖析控制器后加上代码：
◆ 误差扫描：
人生就是博天镜懦弱性扫描与治理系统V6.0于2018年12月12日紧迫宣布针对该误差的升级包，，支持对该误差举行检测，，用户升级天镜漏扫产品误差库后即可对该误差举行扫描。。。。。6070版本升级包为607000192，，升级包下载地点：
/article/type/1/146.html
请天镜懦弱性扫描与治理系统V6.0产品的用户尽快升级到最新版本，，实时对该误差举行检测，，以便尽快接纳提防步伐。。。。。
◆ 产品检测与防护
已安排人生就是博IDS、IPS、WAF产品的客户请确认如下事务规则已经下发并应用，，既可有用检测或阻断攻击。。。。。
事务名称：HTTP_ThinkPHP5远程代码执行误差
2018年12月9日，，ThinkPHP团队宣布了一个补丁更新（https://blog.thinkphp.cn/869075），，修复了一处由于路由剖析缺陷导致的代码执行误差。。。。。该误差危害水平很是高，，默认情形设置即可导致远程代码执行。。。。。由于ThinkPHP获取控制器名没有对参数举行足够的检测，，在没有开启轻质路由的情形下，，攻击者可以通过控制输入字符的方法挪用恣意要领，，抵达远程执行下令的目的。。。。。该误差在开启强制路由的情形下不受影响（默认不开启）。。。。。
详细内容可参考ADLab剖析：
https://mp.weixin.qq.com/s/XBcoT5ypV2cJ-Q09RS8JRA
误差影响版本：
5.1.x - 5.1.31
5.0.x - 5.0.23
误差验证：
◆ 官方建议
受影响用户可将5.0.x版本升级到5.0.23，，将5.1.x版本升级到5.1.31以消除误差影响。。。。。
官方现已推出补丁！！�。。�，建议开发者举行修复：
5.0版本（https://github.com/top-think/framework/commit/b797d72352e6b4eb0e11b6bc2a2ef25907b7756f）：
在think\App类的module要领获取控制器的代码后面加上一下代码：
5.1版本（https://github.com/top-think/framework/commit/802f284bec821a608e7543d91126abc5901b2815）：
在think\route\dispatch\Url类的parseUrl要领，，剖析控制器后加上代码：
◆ 误差扫描：
人生就是博天镜懦弱性扫描与治理系统V6.0于2018年12月12日紧迫宣布针对该误差的升级包，，支持对该误差举行检测，，用户升级天镜漏扫产品误差库后即可对该误差举行扫描。。。。。6070版本升级包为607000192，，升级包下载地点：
/article/type/1/146.html
请天镜懦弱性扫描与治理系统V6.0产品的用户尽快升级到最新版本，，实时对该误差举行检测，，以便尽快接纳提防步伐。。。。。
◆ 产品检测与防护
已安排人生就是博IDS、IPS、WAF产品的客户请确认如下事务规则已经下发并应用，，既可有用检测或阻断攻击。。。。。
事务名称：HTTP_ThinkPHP5远程代码执行误差
天阗入侵检测与治理系统报警截图
天清入侵防御系统报警截图
天清Web应用清静网关报警截图
京公网安备11010802024551号