ThinkPHP 5.x远程命令执行漏洞复现

站长资源 2024/11/28 佚名

2 0 1

一、漏洞描述

2018年12月10日,ThinkPHP官方发布了安全更新,其中修复了ThinkPHP5框架的一个高危漏洞:

https://blog.thinkphp.cn/869075

漏洞的原因是由于框架对控制器名没有进行足够的检测,导致在没有开启强制路由(默认未开启)的情况下可能导致远程代码执行,受影响的版本包括5.0和5.1。

二、漏洞影响版本

Thinkphp 5.x-Thinkphp 5.1.31

Thinkphp 5.0.x<=5.0.23

三、漏洞复现

1、官网下载Thinkphp 5.0.22,下载地址: http://www.thinkphp.cn/donate/download/id/1260.html

2、使用phpstudy搭建环境,解压下载的Thinkphp5.0.22到网站目录下,浏览器访问http://192.168.10.171/thinkphp5.0.22/public

3、利用system函数远程命令执行

Payload如下:

"text-align: center">　　

4、通过phpinfo函数查看phpinfo()的信息　

Payload如下:

"text-align: center">　　

5、写入shell

Payload如下:

"text-align: center">　　

6、查看是否成功写入shell

7、菜刀连接

8、第二种的写入shell的方法

Payload如下:

"text-align: center">　　

9、查看是否成功写入文件

10、菜刀连接

总结

以上所述是小编给大家介绍的ThinkPHP 5.x远程命令执行漏洞复现,希望对大家有所帮助，如果大家有任何疑问请给我留言，小编会及时回复大家的。在此也非常感谢大家对网站的支持！
如果你觉得本文对你有帮助，欢迎转载，烦请注明出处，谢谢！

ThinkPHP,5.x远程命令,ThinkPHP,5.x漏洞复现

广告合作：本站广告合作请联系QQ：858582 申请时备注：广告合作（否则不回）
免责声明：本站资源来自互联网收集,仅供用于学习和交流,请遵循相关法律法规,本站一切资源不代表本站立场,如有侵权、后门、不妥请联系本站删除！

评论“ThinkPHP 5.x远程命令执行漏洞复现”

暂无评论...

P70系列延期，华为新旗舰将在下月发布

3月20日消息，近期博主@数码闲聊站透露，原定三月份发布的华为新旗舰P70系列延期发布，预计4月份上市。

而博主@定焦数码爆料，华为的P70系列在定位上已经超过了Mate60，成为了重要的旗舰系列之一。它肩负着重返影像领域顶尖的使命。那么这次P70会带来哪些令人惊艳的创新呢？
根据目前爆料的消息来看，华为P70系列将推出三个版本，其中P70和P70 Pro采用了三角形的摄像头模组设计，而P70 Art则采用了与上一代P60 Art相似的不规则形状设计。这样的外观是否好看见仁见智，但辨识度绝对拉满。

更新日志

2024年11月28日

ThinkPHP 5.x远程命令执行漏洞复现

php异常处理捕获错误整理

PHP开启目录引索+fancyindex漂亮目录浏览带搜索功能

评论“ThinkPHP 5.x远程命令执行漏洞复现”

P70系列延期，华为新旗舰将在下月发布

更新日志

友情链接