Laravel 5.8 SQL 注入漏洞分析与防护指南

0x01 漏洞背景

Laravel框架是全球流行的PHP框架，2019年3月曝出一个与ignore()函数相关的SQL注入漏洞。该漏洞需要特定条件才能触发，主要影响使用Rule::unique()验证规则并自定义ignore()参数的应用。

0x02 漏洞环境搭建

测试环境要求

• Laravel 5.8版本
• 数据库表结构示例：

CREATE TABLE users (
    id INT PRIMARY KEY,
    username VARCHAR(255) NOT NULL,
    -- 其他字段...
);

漏洞测试代码

$validator = Validator::make($request->input(), [
    'username' => [
        'required',
        Rule::unique("users")->ignore($request->input("id"), $request->input("column"))
    ],
]);
dump($validator->fails());

路由配置

Route::any("index", "UserController@index");

0x03 漏洞原理分析

关键漏洞点

1. ignore()函数处理机制：

   • 默认情况下，ignore()只接受一个参数，表示要忽略的ID值，默认使用"id"作为列名
   • 当传入第二个参数时，可以自定义查询字段名

2. 漏洞触发流程：

   • 攻击者可以控制ignore()的第二个参数（列名）
   • 未经过滤的列名直接拼接到SQL查询中
   • 导致SQL注入漏洞

代码执行流程

1. Rule::unique("users")->ignore($id, $column)调用
2. 进入Illuminate\Validation\Rules\Unique类的ignore()方法
3. 最终调用toString()方法生成SQL查询条件

修复前后对比

修复前代码：

// 直接使用用户输入的列名
$query->where($this->ignoreColumn ?: 'id', '<>', $this->ignore);

修复后代码：

// 对列名进行addslashes处理
$query->where($this->ignoreColumn ?: 'id', '<>', addslashes($this->ignore));

0x04 漏洞复现与利用

正常请求示例

/index?username=admin&id=2

生成SQL：

SELECT COUNT(*) FROM users WHERE username = 'admin' AND id <> '2'

恶意利用请求

/index?username=admin&id=1","liusha","&column=id

导致生成的SQL：

SELECT COUNT(*) FROM users WHERE username = 'admin' AND id <> '1","liusha","'

这将引发数据库错误，因为"liusha"不是有效的列名。

0x05 漏洞防护措施

1. 官方修复方案：

   • 升级到Laravel 5.8.7或更高版本
   • 官方通过addslashes()对输入进行过滤

2. 开发建议：

   • 避免直接使用用户输入作为数据库列名
   • 对ignore()的第二个参数进行白名单验证
   • 使用预定义的常量或枚举值代替动态列名

3. 替代方案：

// 安全用法 - 固定列名
Rule::unique("users")->ignore($request->input("id"))

// 安全用法 - 使用白名单验证列名
$allowedColumns = ['id', 'username', 'email'];
if (in_array($request->input('column'), $allowedColumns)) {
    Rule::unique("users")->ignore($request->input("id"), $request->input("column"))
}

0x06 漏洞影响评估

1. 影响范围：

   • 仅影响使用Rule::unique()并自定义ignore()列名的应用
   • 实际开发中这种用法较为少见

2. 利用难度：

   • 需要知道或猜测表结构
   • 需要应用使用特定的验证规则写法

3. 风险等级：

   • 中低风险，受限于特定使用场景
   • 但一旦满足条件，可导致完整的SQL注入

0x07 总结

Laravel 5.8的这个SQL注入漏洞展示了框架验证机制中的一个边缘案例安全问题。虽然该漏洞需要特定条件才能触发，但它强调了几个重要的安全原则：

1. 永远不要信任用户输入，即使是看似无害的"列名"参数
2. 框架提供的便利方法可能隐藏着安全风险
3. 安全审计应特别关注数据从用户输入到SQL查询的完整路径

开发人员应定期更新框架版本，并审查自定义验证规则的安全性，特别是涉及数据库操作的部分。