ThinkPHP5.0.遠程命令執行的漏洞分析及修復方法

這篇文章主要介紹“ThinkPHP5.0.遠程命令執行的漏洞分析及修復方法”，在日常操作中，相信很多人在ThinkPHP5.0.遠程命令執行的漏洞分析及修復方法問(wèn)題上存在疑惑，小編查閱了各式資料，整理出簡(jiǎn)單好用的操作方法，希望對大家解答”ThinkPHP5.0.遠程命令執行的漏洞分析及修復方法”的疑惑有所幫助！接下來(lái)，請跟著(zhù)小編一起來(lái)學(xué)習吧！

0x01 影響范圍

ThinkPHP 5.0.x：5.0.x ~ 5.0.23

0x02 修復建議

官方在 GitHub 中進(jìn)行了更新：版本更新

升級代碼到最新版本 5.0.24

同時(shí)建議用戶(hù)在線(xiàn)上環(huán)境中關(guān)閉 debug 模式

0x03 修復建議

該漏洞危害高，影響嚴重：

0x04 漏洞分析

漏洞主要出現在 ThinkPHPRequest 類(lèi)的 method 方法中 (thinkphp/library/think/Request.php)

Request 類(lèi)可以實(shí)現對 HTTP 請求的一些設置，其中成員方法 method 用來(lái)獲取當前請求類(lèi)型，其定義如下：

當傳入的參數為 false 的時(shí)候，會(huì )取配置項 var_method，其默認值為_(kāi)method

$this->{$this->method}($_POST); 通過(guò) post 參數_method 可以實(shí)現對當前類(lèi)的任意方法進(jìn)行調用。

通過(guò)調用當前類(lèi)的構造方法可以覆蓋任意成員屬性的值：

這里通過(guò)覆蓋 filter 屬性，filter 屬性保存了用于全局過(guò)濾的函數。

但是在 thinkphp5.0.23 中，會(huì )對 filter 值重新賦值為空，導致無(wú)法利用。

在 thinkphp/library/think/App.php 中開(kāi)啟 debug 的時(shí)候會(huì )調用 Request 類(lèi)的 param 方法。

在 thinkphp/library/think/Request.php param 方法中會(huì )調用到 method 方法, 并將參數設置為 true。

當參數為 true 的時(shí)候，會(huì )調用 server 方法

會(huì )走到 input 方法，通過(guò)之前方法覆蓋 server 成員屬性值為 array(),input 方法代碼如下：

最終會(huì )調用 filterValue 形成任意代碼執行：