HanDs
管理员

[9月漏洞公开] ThinkPHP使用不当可能造成敏感信息泄露 





学习中请遵循国家相关法律法规,黑客不作恶。没有网络安全就没有国家安全

本站需要登陆后才能查看

ThinkPHP在开启DEBUG的情况下会在Runtime目录下生成日志,而且debug很多站都没关的,所以影响应该很大吧

我们来看一下ThinkPHP3.2版本生成日志结构:

123

THINKPHP3.2 结构:Application\Runtime\Logs\Home\16_09_09.log

THINKPHP3.1结构:Runtime\Logs\Home\16_09_09.log

可以看到是 :项目名\Runtime\Logs\Home\年份_月份_日期.log

这样的话日志很容易被猜解到,而且日志里面有执行SQL语句的记录,这里我随便找几个tp站测试一下:

http://demo.xxxxx.cc/Runtime/Logs/User/16_09_06.log 成功下载,并且找到一个用户的密码

 

log

成功登录:

233333

我们再找一个案例:http://www.xxxxxx.com/Runtime/Logs/Home/16_09_06.log

 

1234

成功登录:

onethink官网测试

http://www.onethink.cn/Runtime/Logs/16_09_07.log

 

修复办法:

删除Runtime/Logs下的所有文件,并将APP_DEBUG设置为false


学习中请遵守法律法规,本网站内容均来自于互联网,本网站不负担法律责任
ThinkPHP 使用不当可能造成敏感信息泄露
#1楼
发帖时间:2016-9-11   |   查看数:0   |   回复数:0
游客组
快速回复