Thinkphp5.0.0~5.0.23版本远程代码执行漏洞导致网站被挂马

最近发现多个Thinkphp5开发的网站被挂马,导致首页被篡改,其他页面无法正常访问的情况。

木马中均包含以下代码:

define(‘Viv, bebegim.’,‘Denzel-你的英雄’);
经过检查,这些攻击是利用了Thinkphp5.0.0~5.0.23版本远程进行代码调用的漏洞进行的getshell。

漏洞的详细原理参见:https://seaii-blog.com/index.php/2019/01/14/88.html

Thinkphp5官方已经发布了安全更新版本:ThinkPHP5.0.24版本发布——安全更新

请各位使用到漏洞版本的开发人员尽快更新到5.0.24版本及以上。

如果不方便更新到最新版本,那么可以按照最新版本的Request类的method方法进行手动修复,具体如下:

打开/thinkphp/library/think/Request.php文件,找到method方法(约496行),修改下面代码:

$this->method = strtoupper($_POST[Config::get('var_method')]);
$this->{$this->method}($_POST);

改为:

$method = strtoupper($_POST[Config::get('var_method')]);
if (in_array($method, ['GET', 'POST', 'DELETE', 'PUT', 'PATCH'])) {
    $this->method = $method;
    $this->{$this->method}($_POST);
} else {
    $this->method = 'POST';
}
unset($_POST[Config::get('var_method')]);
  • 0
    点赞
  • 2
    收藏
    觉得还不错? 一键收藏
  • 0
    评论

“相关推荐”对你有帮助么?

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

红包个数最小为10个

红包金额最低5元

当前余额3.43前往充值 >
需支付:10.00
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明:

1.余额是钱包充值的虚拟货币,按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载,可以购买VIP、付费专栏及课程。

余额充值