目录
前言
thinkphp是一个国内轻量级的开发框架,采用php+apache,在更新迭代中,thinkphp也经常爆出各种漏洞,thinkphp一般有thinkphp2、thinkphp3、thinkphp5、thinkphp6版本,前两个版本已经停止更新,主要介绍下thinkphp5的漏洞
一、远程代码执行漏洞
1.1 影响范围
thinkphp<5.0.23
1.2 漏洞详情
这个版本中因为method方法没有准确处理变量名,导致可以在request方法中构造参数执行系统命令
二、5.x远程命令注入
由于没有开启强制路由,未对路由的控制器进行过滤,导致远程命令执