ThinkPHP V5.0.5漏洞_漏洞考古：thiknphp5 代码执行漏洞

最新推荐文章于 2023-08-11 17:29:43 发布

weixin_39662142

最新推荐文章于 2023-08-11 17:29:43 发布

阅读量531

点赞数

文章标签： ThinkPHP V5.0.5漏洞

本文聚焦ThinkPHP V5.0.5版本漏洞，介绍了该版本下载地址，详细分析了POC执行流程，包括路由信息处理、反射执行类方法等。指出漏洞主因是框架分割路由未考虑特殊情况，可传入任意类执行任意函数。还给出官方修复方法，即过滤路由特殊字符串及不同版本补丁方案。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

thinkphp版本：v5.0.5

下载地址 https://www.thinkphp.cn/down/870.html

poc：?s=index/thinkapp/invokefunction&function=call_user_func_array&vars[0]=phpinfo&vars[1][]=1

带poc访问index.php以后经过初始化以后，流程执行到App类中的run方法

在一百多行左右对路由信息进行了处理，跟入进去

跟进到module方法

一直到354行出现关键位置，绿色的注释的就是tp官方的修复代码。

在Loader类中对传入的恶意类进行反射

反射执行类方法

获取到参数

反射执行方法 call_usser_func_array 参数phpinfo

到这里 phpinfo执行成功

漏洞调用堆栈

漏洞产生的主要原因就是think框架应该是通过/，来分割路由，但是因为没有考虑的情况，导致可以通过路由传入thinkApp这样的任意类，然后再反射执行invokeFunction方法实现任意函数的执行。

官方的修复方法，也就是对路由里面的特殊字符串进行过滤。

漏洞修复方案：

Thinkphp v5.0.x补丁:

library/think/App.php

$controller = strip_tags($result[1] ?: $config['default_controller']);后添加

if (!preg_match('/^[A-Za-z](w)*$/', $controller)) {
    throw new HttpException(404, 'controller not exists:' . $controller);
}

Thinkphp v5.1.x补丁:

library/think/route/dispatch/Module.php

$controller = strip_tags($result[1] ?: $this->rule->getConfig('default_controller'));

替换为

$controller = strip_tags($result[1] ?: $this->rule->getConfig('default_controller'));
if (!preg_match('/^[A-Za-z](w)*$/', $controller)) {
   throw new HttpException(404, 'controller not exists:' . $controller);
}