ThinkPHP框架是國內比較流行的PHP框架之一，雖然跟國外的那些個框架沒法比，但優點在於，恩，中文手冊很全面。最近研究SQL注入，之前用TP框架的時候因爲底層提供了安全功能，在開發過程中沒怎麼考慮安全問題。想知道TP到底是怎麼實現防SQL注入的，所以看了一些源碼。結合phith0n大牛在烏雲上發的漏洞，分析了一下，整理了一些思路~~
一、不得不說的I函數
TP系統提供了I函數用於輸入變量的過濾。整個函數主體的意義就是獲取各種格式的數據，比如I('get.')、I('post.id')，然後用htmlspecialchars函數（默認情況下）進行處理。如果需要採用其他的方法進行安全過濾，可以從/ThinkPHP/Conf/convention.php中設置：
'DEFAULT_FILTER' => 'strip_tags',//也可以設置多種過濾方法'DEFAULT_FILTER' => 'strip_tags,stripslashes',
從/ThinkPHP/Common/functions.php中可以找到I函數，源碼如下：
/**
* 獲取輸入參數 支持過濾和默認值
* 使用方法:
* <code>
* I('id',0); 獲取id參數 自動判斷get或者post
* I('post.name','','htmlspecialchars'); 獲取$_POST['name']
* I('get.'); 獲取$_GET
* </code>
* @param string $name 變量的名稱 支持指定類型
* @param mixed $default 不存在的時候默認值
* @param mixed $filter 參數過濾方法
* @param mixed $datas 要獲取的額外數據源
* @return mixed
*/function I($name,$default='',$filter=null,$datas=null) { static $_PUT = null; if(strpos($name,'/')){ // 指定修飾符 list($name,$type) = explode('/',$name,2); }elseif(C('VAR_AUTO_STRING')){ // 默認強制轉換爲字符串 $type = 's'; } /*根據$name的格式獲取數據：先判斷參數的來源，然後再根據各種格式獲取數據*/ if(strpos($name,'.')) {list($method,$name) = explode('.',$name,2);} // 指定參數來源 else{$method = 'param';}//設定爲自動獲取 switch(strtolower($method)) { case 'get' : $input =& $_GET;break; case 'post' : $input =& $_POST;break; case 'put' : /*此處省略*/ case 'param' : /*此處省略*/ case 'path' : /*此處省略*/ } /*對獲取的數據進行過濾*/ if('' // 獲取全部變量 $data = $input; $filters = isset($filter)?$filter:C('DEFAULT_FILTER'); if($filters) { if(is_string($filters)){$filters = explode(',',$filters);} //爲多種過濾方法提供支持 foreach($filters as $filter){ $data = array_map_recursive($filter,$data); //循環過濾 } } }elseif(isset($input[$name])) { // 取值操作 $data = $input[$name]; $filters = isset($filter)?$filter:C('DEFAULT_FILTER'); if($filters) { /*對參數進行過濾，支持正則表達式驗證*/ /*此處省略*/ } if(!empty($type)){ //如果設定了強制轉換類型 switch(strtolower($type)){ case 'a': $data = (array)$data;break; // 數組 case 'd': $data = (int)$data;break; // 數字 case 'f': $data = (float)$data;break; // 浮點 case 'b': $data = (boolean)$data;break; // 布爾 case 's': // 字符串 default:$data = (string)$data; } } }else{ // 變量默認值 $data = isset($default)?$default:null; } is_array($data) && array_walk_recursive($data,'think_filter'); //如果$data是數組，那麼用think_filter對數組過濾 return $data;}恩，函數基本分成三塊：第一塊，獲取各種格式的數據。第二塊，對獲取的數據進行循環編碼，不管是二維數組還是三維數組。第三塊，也就是倒數第二行，調用了think_filter對數據進行了最後一步的神祕處理。
讓我們先來追蹤一下think_filter函數：
//1536行 版本3.2.3最新添加function think_filter(&$value){// 過濾查詢特殊字符 if(preg_match('/^(EXP|NEQ|GT|EGT|LT|ELT|OR|XOR|LIKE|NOTLIKE|NOT BETWEEN|NOTBETWEEN|BETWEEN|NOTIN|NOT IN|IN)$/i',$value)){
$value .= ' ';
}}這個函數很簡單，一眼就可以看出來，在一些特定的關鍵字後面加個空格。但是這個叫think_filter的函數，僅僅加了一個空格，到底起到了什麼過濾的作用？
我們都知道重要的邏輯驗證，如驗證是否已登錄，用戶是否能購買某商品等，必須從服務器端驗證，如果從前端驗證的話，就很容易被繞過。同一個道理，在程序中，in/exp一類的邏輯結構，最好也是由服務器端來控制。
當從傳遞到服務器端的數據是這樣：id[0]=in&id[1]=1,2,3，如果沒有think_filter函數的話，會被解析成下表中的1，也就會被當成服務器端邏輯解析。但如果變成如下表2的樣子，因爲多了一個空格，無法被匹配解析，也就避免了漏洞。
1. $data['id']=array('in'=>'1,2,3') //經過think_filter過濾之後，會變成介個樣子：2. $data['id']=array('in '=>'1,2,3')二、SQL注入
相關的文件爲:/ThinkPHP/Library/Think/Db.class.php(在3.2.3中改爲了/ThinkPHP/Library/Think/Db/Driver.class.php) 以及 /ThinkPHP/Library/Think/Model.class.php。其中Model.class.php文件提供的是curd直接調用的函數，直接對外提供接口，Driver.class.php中的函數被curd操作間接調用。
//此次主要分析如下語句：M('user')->where($map)->find(); //在user表根據$map的條件檢索出一條數據大概說一下TP的處理思路。首先將Model類實例化爲一個user對象，然後調用user對象中的where函數處理$map，也就是將$map進行一些格式化處理之後賦值給user對象的成員變量$options（如果有其他的連貫操作，也是先賦值給user對象的對應成員變量，而不是直接拼接SQL語句，所以在寫連貫操作的時候，無需像拼接SQL語句一樣考慮關鍵字的順序），接下來調用find函數。find函數會調用底層的，也就是driver類中的函數——select來獲取數據。到了select函數，又是另一個故事了。
select除了要處理curd操作，還要處理pdo綁定，我們這裏只關心curd操作，所以在select中調用了buildSelectSql，處理分頁信息，並且調用parseSQL按照既定的順序把SQL語句組裝進去。雖然拼接SQL語句所需要的參數已經全部放在成員變量裏了，但是格式不統一，有可能是字符串格式的，有可能是數組格式的，還有可能是TP提供的特殊查詢格式，比如：$data['id']=array('gt','100');，所以在拼接之前，還要調用各自的處理函數，進行統一的格式化處理。我選取了parseWhere這個複雜的典型來分析。
關於安全方面的，如果用I函數來獲取數據，那麼會默認進行htmlspecialchars處理，能有效抵禦xss***，但是對SQL注入沒有多大影響。在過濾有關SQL注入有關的符號的時候，TP的做法很機智：先是按正常邏輯處理用戶的輸入，然後在最接近最終的SQL語句的parseWhere、parseHaving等函數中進行安全處理。這樣的順序避免了在處理的過程中出現注入。當然處理的方法是最普通的addslashes，根據死在沙灘上的前浪們說，推薦使用mysql_real_escape_string來進行過濾，但是這個函數只能在已經連接了數據庫的前提下使用。感覺TP在這個地方可以做一下優化，畢竟走到這一步的都是連接了數據庫的。
恩，接下來，分析開始：
先說幾個Model對象中的成員變量：
// 主鍵名稱protected $pk = 'id';// 字段信息protected $fields = array();// 數據信息protected $data = array();// 查詢表達式參數protected $options = array();// 鏈操作方法列表protected $methods = array('strict','order','alias','having','group','lock','distinct','auto','filter','validate','result','token','index','force')接下來分析where函數：
public function where($where,$parse=null){ //如果非數組格式，即where('id=%d&name=%s',array($id,$name))，對傳遞到字符串中的數組調用mysql裏的escapeString進行處理 if(!is_null($parse) && is_string($where)) {
if(!is_array($parse)){ $parse = func_get_args();array_shift($parse);} $parse = array_map(array($this->db,'escapeString'),$parse); $where = vsprintf($where,$parse); //vsprintf() 函數把格式化字符串寫入變量中 }elseif(is_object($where)){ $where = get_object_vars($where); } if(is_string($where) && '' != $where){ $map = array(); $map['_string'] = $where; $where = $map; }
//將$where賦值給$this->where if(isset($this->options['where'])){
$this->options['where'] = array_merge($this->options['where'],$where); }else{ $this->options['where'] = $where; }
return $this;}where函數的邏輯很簡單，如果是where('id=%d&name=%s',array($id,$name))這種格式，那就對$id,$name變量調用mysql裏的escapeString進行處理。escapeString的實質是調用mysql_real_escape_string、addslashes等函數進行處理。最後將分析之後的數組賦值到Model對象的成員函數——$where中供下一步處理。
再分析find函數：
//model.class.php 行721 版本3.2.3public function find($options=array()) { if(is_numeric($options) || is_string($options)){ /*如果傳遞過來的數據是字符串，不是數組*/ $where[$this->getPk()] = $options; $options = array(); $options['where'] = $where; /*提取出查詢條件，並賦值*/ } // 根據主鍵查找記錄 $pk = $this->getPk(); if (is_array($options) && (count($options) > 0) && is_array($pk)) { /*構造複合主鍵查詢條件，此處省略*/ } $options['limit'] = 1; // 總是查找一條記錄 $options = $this->_parseOptions($options); // 分析表達式 if(isset($options['cache'])){ /*緩存查詢，此處省略*/ } $resultSet = $this->db->select($options); if(false === $resultSet){ return false;} if(empty($resultSet)) { return null; } // 查詢結果爲空 if(is_string($resultSet)){ return $resultSet;} //查詢結果爲字符串 // 讀取數據後的處理，此處省略簡寫 $this->data = $this->_read_data($resultSet[0]); return $this->data;}$Pk爲主鍵，$options爲表達式參數，本函數的作用就是完善成員變量——options數組，然後調用db層的select函數查詢數據，處理後返回數據。
跟進_parseOptions函數：
protected function _parseOptions($options=array()) { //分析表達式 if(is_array($options)){ $options = array_merge($this->options,$options); } /*獲取表名，此處省略*/ /*添加數據表別名，此處省略*/ $options['model'] = $this->name;// 記錄操作的模型名稱 /*對數組查詢條件進行字段類型檢查，如果在合理範圍內，就進行過濾處理；否則拋出異常或者刪除掉對應字段*/ if(isset($options['where']) && is_array($options['where']) && !empty($fields) && !isset($options['join'])){ foreach ($options['where'] as $key=>$val){ $key = trim($key); if(in_array($key,$fields,true)){ //如果$key在數據庫字段內，過濾以及強制類型轉換之 if(is_scalar($val)) {
/*is_scalar 檢測是否爲標量。標量是指integer、float、string、boolean的變量，array則不是標量。*/
$this->_parseType($options['where'],$key); } }elseif(!is_numeric($key) && '_' != substr($key,0,1) && false === strpos($key,'.') && false === strpos($key,'(') && false === strpos($key,'|') && false === strpos($key,'&')){ // 如果$key不是數字且第一個字符不是_，不存在.(|&等特殊字符 if(!empty($this->options['strict'])){ //如果是strict模式，拋出異常 E(L('_ERROR_QUERY_EXPRESS_').':['.$key.'=>'.$val.']'); }
unset($options['where'][$key]); //unset掉對應的值 } } }
$this->options = array(); // 查詢過後清空sql表達式組裝 避免影響下次查詢 $this->_options_filter($options); // 表達式過濾 return $options;}本函數的結構大概是，先獲取了表名，模型名，再對數據進行處理：如果該條數據不在數據庫字段內，則做出異常處理或者刪除掉該條數據。否則，進行_parseType處理。parseType此處不再跟進，功能爲:數據類型檢測,強制類型轉換包括int,float,bool型的三種數據。
函數運行到此處，就該把處理好的數據傳到db層的select函數裏了。此時的查詢條件$options中的int,float,bool類型的數據都已經進行了強制類型轉換，where（）函數中的字符串（非數組格式的查詢）也進行了addslashes等處理。
繼續追蹤到select函數，就到了driver對象中了，還是先列舉幾個有用的成員變量：
// 數據庫表達式protected $exp = array('eq'=>'=','neq'=>'<>','gt'=>'>','egt'=>'>=','lt'=>'<','elt'=>'<=','notlike'=>'NOT LIKE','like'=>'LIKE','in'=>'IN','notin'=>'NOT IN','not in'=>'NOT IN','between'=>'BETWEEN','not between'=>'NOT BETWEEN','notbetween'=>'NOT BETWEEN');// 查詢表達式protected $selectSql = 'SELECT%DISTINCT% %FIELD% FROM %TABLE%%FORCE%%JOIN%%WHERE%%GROUP%%HAVING%%ORDER%%LIMIT% %UNION%%LOCK%%COMMENT%';// 當前SQL指令protected $queryStr = '';// 參數綁定protected $bind = array();select函數：
public function select($options=array()) { $this->model = $options['model']; $this->parseBind(!empty($options['bind'])?$options['bind']:array()); $sql = $this->buildSelectSql($options); $result = $this->query($sql,!empty($options['fetch_sql']) ? true : false); return $result;}版本3.2.3經過改進之後，select精簡了不少。parseBind函數是綁定參數，用於pdo查詢，此處不表。
buildSelectSql（）函數及其後續調用如下：
public function buildSelectSql($options=array()) { if(isset($options['page'])) { /*頁碼計算及處理，此處省略*/ } $sql = $this->parseSql($this->selectSql,$options); return $sql;}/* 替換SQL語句中表達式*/public function parseSql($sql,$options=array()){ $sql = str_replace( array('%TABLE%','%DISTINCT%','%FIELD%','%JOIN%','%WHERE%','%GROUP%','%HAVING%','%ORDER%','%LIMIT%','%UNION%','%LOCK%','%COMMENT%','%FORCE%'), array( $this->parseTable($options['table']), $this->parseDistinct(isset($options['distinct'])?$options['distinct']:false), $this->parseField(!empty($options['field'])?$options['field']:'*'), $this->parseJoin(!empty($options['join'])?$options['join']:''), $this->parseWhere(!empty($options['where'])?$options['where']:''), $this->parseGroup(!empty($options['group'])?$options['group']:''), $this->parseHaving(!empty($options['having'])?$options['having']:''), $this->parseOrder(!empty($options['order'])?$options['order']:''), $this->parseLimit(!empty($options['limit'])?$options['limit']:''), $this->parseUnion(!empty($options['union'])?$options['union']:''), $this->parseLock(isset($options['lock'])?$options['lock']:false), $this->parseComment(!empty($options['comment'])?$options['comment']:''), $this->parseForce(!empty($options['force'])?$options['force']:'') ),$sql); return $sql;}可以看到，在parseSql中用正則表達式拼接了sql語句，但並沒有直接的去處理各種插敘你的數據格式，而是在解析變量的過程中調用了多個函數，此處拿parseWhere舉例子。
protected function parseWhere($where) { $whereStr = ''; if(is_string($where)) { // 直接使用字符串條件 $whereStr = $where; } else{ // 使用數組表達式 /*設定邏輯規則，如or and xor等，默認爲and，此處省略*/ $operate=' AND '; /*解析特殊格式的表達式並且格式化輸出*/ foreach ($where as $key=>$val){ if(0===strpos($key,'_')) { // 解析特殊條件表達式 $whereStr .= $this->parseThinkWhere($key,$val); } else{ // 查詢字段的安全過濾 $multi = is_array($val) && isset($val['_multi']); //判斷是否有複合查詢 $key = trim($key); /*處理字段中包含的| &邏輯*/ if(strpos($key,'|')) { // 支持 name|title|nickname 方式定義查詢字段 /*將|換成or，並格式化輸出，此處省略*/ } elseif(strpos($key,'&')){ /*將&換成and，並格式化輸出，此處省略*/ } else{ $whereStr .= $this->parseWhereItem($this->parseKey($key),$val); } } $whereStr .= $operate; } $whereStr = substr($whereStr,0,-strlen($operate)); } return empty($whereStr)?'':' WHERE '.$whereStr;}// where子單元分析protected function parseWhereItem($key,$val) { $whereStr = ''; if(is_array($val)){ if(is_string($val[0])){ $exp = strtolower($val[0]); //如果是$map['id']=array('eq',100)一類的結構，那麼解析成數據庫可執行格式 if(preg_match('/^(eq|neq|gt|egt|lt|elt)$/',$exp)){ $whereStr .= $key.' '.$this->exp[$exp].' '.$this->parseValue($val[1]); } //如果是模糊查找格式 elseif(preg_match('/^(notlike|like)$/',$exp)){// 模糊查找,$map['name']=array('like','thinkphp%'); if(is_array($val[1])) { //解析格式如下：$map['b'] =array('notlike',array('%thinkphp%','%tp'),'AND'); $likeLogic = isset($val[2])?strtoupper($val[2]):'OR'; //如果沒有設定邏輯結構，則默認爲OR if(in_array($likeLogic,array('AND','OR','XOR'))){ /* 根據邏輯結構，組合語句，此處省略*/ $whereStr .= '('.implode(' '.$likeLogic.' ',$like).')';
} } else{ $whereStr .= $key.' '.$this->exp[$exp].' '.$this->parseValue($val[1]); } }elseif('bind' == $exp ){ // 使用表達式，pdo數據綁定 $whereStr .= $key.' = :'.$val[1]; }elseif('exp' == $exp ){ // 使用表達式 $map['id'] = array('exp',' IN (1,3,8) '); $whereStr .= $key.' '.$val[1]; }elseif(preg_match('/^(notin|not in|in)$/',$exp)){ //IN運算 $map['id'] = array('not in','1,5,8'); if(isset($val[2]) && 'exp'==$val[2]){ $whereStr .= $key.' '.$this->exp[$exp].' '.$val[1]; }else{ if(is_string($val[1])) { $val[1] = explode(',',$val[1]); } $zone = implode(',',$this->parseValue($val[1])); $whereStr .= $key.' '.$this->exp[$exp].' ('.$zone.')'; } }elseif(preg_match('/^(notbetween|not between|between)$/',$exp)){ //BETWEEN運算 $data = is_string($val[1])? explode(',',$val[1]):$val[1]; $whereStr .= $key.' '.$this->exp[$exp].' '.$this->parseValue($data[0]).' AND '.$this->parseValue($data[1]); }else{ //否則拋出異常 E(L('_EXPRESS_ERROR_').':'.$val[0]); } } else{ //解析如：$map['status&score&title'] =array('1',array('gt','0'),'thinkphp','_multi'=>true); $count = count($val); $rule = isset($val[$count-1]) ? (is_array($val[$count-1]) ? strtoupper($val[$count-1][0]) : strtoupper($val[$count-1]) ) : '' ;
if(in_array($rule,array('AND','OR','XOR'))){ $count = $count -1; }else{ $rule = 'AND'; } for($i=0;$i<$count;$i++){ $data = is_array($val[$i])?$val[$i][1]:$val[$i]; if('exp'==strtolower($val[$i][0])) { $whereStr .= $key.' '.$data.' '.$rule.' '; }else{ $whereStr .= $this->parseWhereItem($key,$val[$i]).' '.$rule.' '; } } $whereStr = '( '.substr($whereStr,0,-4).' )'; } } else { //對字符串類型字段採用模糊匹配 $likeFields = $this->config['db_like_fields']; if($likeFields && preg_match('/^('.$likeFields.')$/i',$key)) { $whereStr .= $key.' LIKE '.$this->parseValue('%'.$val.'%'); }else { $whereStr .= $key.' = '.$this->parseValue($val); } } return $whereStr;}protected function parseThinkWhere($key,$val) { //解析特殊格式的條件 $whereStr = ''; switch($key) { case '_string':$whereStr = $val;break; // 字符串模式查詢條件 case '_complex':$whereStr = substr($this->parseWhere($val),6);break; // 複合查詢條件 case '_query':// 字符串模式查詢條件 /*處理邏輯結構，並且格式化輸出字符串，此處省略*/ } return '( '.$whereStr.' )';}上面的兩個函數很長，我們再精簡一些來看：parseWhere首先判斷查詢數據是不是字符串，如果是字符串，直接返回字符串，否則，遍歷查詢條件的數組，挨個解析。由於TP支持_string，_complex之類的特殊查詢，調用了parseThinkWhere來處理，對於普通查詢，就調用了parseWhereItem。在各自的處理過程中，都調用了parseValue，追蹤一下，其實是用了addslashes來過濾，雖然addslashes在非utf-8編碼的頁面中會造成寬字節注入，但是如果頁面和數據庫均正確編碼的話，還是沒什麼問題的。
本篇僅是拋磚引玉，輕噴!
參考資料一：http://wooyun.org/bugs/wooyun-2010-086737
參考資料二：http://wooyun.org/bugs/wooyun-2010-087731
參考資料三：http://wooyun.org/bugs/wooyun-2010-086742
[作者/Friday，屬FreeBuf原創獎勵計劃文章，未經許可禁止轉載]