thinkPHP3.x日志泄露漏洞复现

漏洞名称

• thinkPHP3.x日志泄露

漏洞描述

• ThinkPHP在开启DEBUG的情况下会在Runtime目录下生成日志，而且debug很多网站都没有关
• ThinkPHP默认安装后，也会在Runtime目录下生成日志
• 日志很容易被猜解到，而且日志里面有执行SQL语句的记录

影响版本

• thinkPHP3.2
• thinkPHP3.

漏洞分析

• THINKPHP3.2 结构：Application\Runtime\Logs\Home\16_09_09.log
• THINKPHP3.1结构：Runtime\Logs\Home\16_09_09.log
• 日志存储结构是 ：项目名\Runtime\Logs\Home\年份_月份_日期.log

实验环境及准备

下载thinkphp3.2.3版本的源码，下载地址：http://www.thinkphp.cn/download/610.html