ThinkPHP使用不當可能造成敏感信息泄露


ThinkPHP在開啟DEBUG的情況下會在Runtime目錄下生成日志,而且debug很多站都沒關的,所以影響應該很大吧

我們來看一下ThinkPHP3.2版本生成日志結構:

123

THINKPHP3.2 結構:Application\Runtime\Logs\Home\16_09_09.log

THINKPHP3.1結構:Runtime\Logs\Home\16_09_09.log

可以看到是 :項目名\Runtime\Logs\Home\年份_月份_日期.log

這樣的話日志很容易被猜解到,而且日志里面有執行SQL語句的記錄,這里我隨便找幾個tp站測試一下:

http://demo.xxxxx.cc/Runtime/Logs/User/16_09_06.log 成功下載,並且找到一個用戶的密碼

 

log

成功登錄:

233333

我們再找一個案例:http://www.xxxxxx.com/Runtime/Logs/Home/16_09_06.log

 

1234

成功登錄:

onethink官網測試

http://www.onethink.cn/Runtime/Logs/16_09_07.log

 

修復辦法:

刪除Runtime/Logs下的所有文件,並將APP_DEBUG設置為false


免責聲明!

本站轉載的文章為個人學習借鑒使用,本站對版權不負任何法律責任。如果侵犯了您的隱私權益,請聯系本站郵箱yoyou2525@163.com刪除。



 
粵ICP備18138465號   © 2018-2025 CODEPRJ.COM