紧迫 | ThinkPHP远程下令执行高危误差，，， ，凯时K66提供解决计划
宣布时间 2018-12-12
ThinkPHP是一个快速、兼容并且简朴的轻量级国产PHP开发框架，，， ，降生于2006年头，，， ，原名FCS，，， ，2007年元旦正式更名为ThinkPHP，，， ，遵照Apache2开源协议宣布，，， ，使用面向工具的开发结构和MVC模式，，， ，融合了Struts的头脑和TagLib（标签库）、RoR的ORM映射和ActiveRecord模式,该框架海内应用很是普遍。。。。。。。
2018年12月9日，，， ，ThinkPHP团队宣布了一个补丁更新（https://blog.thinkphp.cn/869075），，， ，修复了一处由于路由剖析缺陷导致的代码执行误差。。。。。。。该误差危害水平很是高，，， ，默认情形设置即可导致远程代码执行。。。。。。。由于ThinkPHP获取控制器名没有对参数举行足够的检测，，， ，在没有开启轻质路由的情形下，，， ，攻击者可以通过控制输入字符的方法挪用恣意要领，，， ，抵达远程执行下令的目的。。。。。。。该误差在开启强制路由的情形下不受影响（默认不开启）。。。。。。。
详细内容可参考ADLab剖析：
https://mp.weixin.qq.com/s/XBcoT5ypV2cJ-Q09RS8JRA
误差影响版本：
5.1.x - 5.1.31
5.0.x - 5.0.23
误差验证：
◆ 官方建议
受影响用户可将5.0.x版本升级到5.0.23，，， ，将5.1.x版本升级到5.1.31以消除误差影响。。。。。。。
官方现已推出补�。。。。。。。�， ，建议开发者举行修复：
5.0版本（https://github.com/top-think/framework/commit/b797d72352e6b4eb0e11b6bc2a2ef25907b7756f）：
在think\route\dispatch\Url类的parseUrl要领，，， ，剖析控制器后加上代码：
◆ 误差扫描：
凯时K66天镜懦弱性扫描与治理系统V6.0于2018年12月12日紧迫宣布针对该误差的升级包，，， ，支持对该误差举行检测，，， ，用户升级天镜漏扫产品误差库后即可对该误差举行扫描。。。。。。。6070版本升级包为607000192，，， ，升级包下载地点：
/article/type/1/146.html
请天镜懦弱性扫描与治理系统V6.0产品的用户尽快升级到最新版本，，， ，实时对该误差举行检测，，， ，以便尽快接纳提防步伐。。。。。。。
◆ 产品检测与防护
已安排凯时K66IDS、IPS、WAF产品的客户请确认如下事务规则已经下发并应用，，， ，既可有用检测或阻断攻击。。。。。。。
事务名称：HTTP_ThinkPHP5远程代码执行误差
2018年12月9日，，， ，ThinkPHP团队宣布了一个补丁更新（https://blog.thinkphp.cn/869075），，， ，修复了一处由于路由剖析缺陷导致的代码执行误差。。。。。。。该误差危害水平很是高，，， ，默认情形设置即可导致远程代码执行。。。。。。。由于ThinkPHP获取控制器名没有对参数举行足够的检测，，， ，在没有开启轻质路由的情形下，，， ，攻击者可以通过控制输入字符的方法挪用恣意要领，，， ，抵达远程执行下令的目的。。。。。。。该误差在开启强制路由的情形下不受影响（默认不开启）。。。。。。。
详细内容可参考ADLab剖析：
https://mp.weixin.qq.com/s/XBcoT5ypV2cJ-Q09RS8JRA
误差影响版本：
5.1.x - 5.1.31
5.0.x - 5.0.23
误差验证：
◆ 官方建议
受影响用户可将5.0.x版本升级到5.0.23，，， ，将5.1.x版本升级到5.1.31以消除误差影响。。。。。。。
官方现已推出补�。。。。。。。�， ，建议开发者举行修复：
5.0版本（https://github.com/top-think/framework/commit/b797d72352e6b4eb0e11b6bc2a2ef25907b7756f）：
在think\App类的module要领获取控制器的代码后面加上一下代码：
5.1版本（https://github.com/top-think/framework/commit/802f284bec821a608e7543d91126abc5901b2815）：
在think\route\dispatch\Url类的parseUrl要领，，， ，剖析控制器后加上代码：
◆ 误差扫描：
凯时K66天镜懦弱性扫描与治理系统V6.0于2018年12月12日紧迫宣布针对该误差的升级包，，， ，支持对该误差举行检测，，， ，用户升级天镜漏扫产品误差库后即可对该误差举行扫描。。。。。。。6070版本升级包为607000192，，， ，升级包下载地点：
/article/type/1/146.html
请天镜懦弱性扫描与治理系统V6.0产品的用户尽快升级到最新版本，，， ，实时对该误差举行检测，，， ，以便尽快接纳提防步伐。。。。。。。
◆ 产品检测与防护
已安排凯时K66IDS、IPS、WAF产品的客户请确认如下事务规则已经下发并应用，，， ，既可有用检测或阻断攻击。。。。。。。
事务名称：HTTP_ThinkPHP5远程代码执行误差
天阗入侵检测与治理系统报警截图
天清入侵防御系统报警截图
天清Web应用清静网关报警截图
京公网安备11010802024551号