kmdaliu的博客

原创 Thinkphp5.0--5.1 有重大安全隐患 用它做网站的赶紧改

而ThinkPHP的主框架的装载器thinkphp/library/think/Loader.php文件中，第110行左右，有一段奇怪的代码，用于调用runtime/classmap.php。这段调用代码并非黑客所加，而是ThinkPHP框架自带的，我们下载了最新的ThinkPHP 5.1.24框架对比了，就是ThinkPHP自带的，至少从5.0就存在。目前尚不清楚是黑客是通过何种手段上传的。网站还能上传文件的一个组件是web编辑器，但web编辑器是需要登录后台的，没有登录后台，是无法上传文件的。