首先我们了解下这个漏洞是什么？

MyBatis-Plus TenantPlugin 是 MyBatis-Plus 的一个为多租户场景而设计的插件，可以在 SQL 中自动添加租户 ID 来实现数据隔离功能。

MyBatis-Plus TenantPlugin 3.5.3.1及之前版本由于 TenantHandler#getTenantId 方法在构造 SQL 表达式时默认情况下未对 tenant（租户）的 ID 值进行过滤，当程序启用了 TenantPlugin 并且 tenant（租户）ID 可由外部用户控制时，攻击者可利用该漏洞进行 sql 注入，接管程序的数据库或向操作系统发送恶意命令。用户可通过对租户 ID 进行过滤缓解此漏洞。

影响版本 <3.5.1

解决办法

1.不启用tenantId

2.必须使用tenantId的话,加过滤器，对tenantId做处理

Test Version: 3.4.2

com.example.demo.config.MybatisPlusConfig 

 

com.example.demo.common.TenantHolder 

 

Interface for testing: /user?tid= will returns a specified tenant data record.

com.example.demo.controller.HelloController 

 

db:

CREATE TABLE `users` (  
  `id` int(32) NOT NULL AUTO_INCREMENT,  
  `name` varchar(32) NOT NULL,  
  `tenant_id` varchar(64) NOT NULL,  
  PRIMARY KEY (`id`)  
) ENGINE=InnoDB AUTO_INCREMENT=1 DEFAULT CHARSET=utf8;

Test interface using blank parameters:

http://localhost:8080/user?tid= 

 

Use ' or 1=1 and '123'='123 to perform sql injection and get all the data