thinkphp自定义url_渗透记实|ThinkPhp绕过限制GetShell

最新推荐文章于 2022-03-19 08:54:57 发布

原创

最新推荐文章于 2022-03-19 08:54:57 发布 · 1k 阅读

1 ·

CC 4.0 BY-SA版权

文章标签：

#thinkphp自定义url

本文详细介绍了在ThinkPHP V5.0.*框架中，如何在开启debug模式下绕过限制获取Shell。文章探讨了命令执行被限制、open_basedir限制等问题，并提供了不同师傅的解决办法。通过深入分析Request.php的filterValue函数、App.php的Run方法，以及Route.php的parseUrl函数，揭示了如何构造payload来绕过disable_functions中的限制，最后成功执行命令。

0x01 前言

项目里遇到一个站，用的是ThinkPHP V5.0.*框架，且开启了debug模式，本以为一发payload的就能解决的事情，没想到拿下的过程还得小绕一下...

0x02 踩坑

尝试命令执行，system被限制了

尝试包含日志文件，open_basedir限制了

这里有个思路，可以去包含runtime下的日志文件，但是thinkphp的日志文件比较大，而且有时候会有很多奇怪的问题阻断代码执行，暂且作为备选方案

尝试通过thinkphp本身Library中设置Session的方法把脚本写入tmp目录里的Session文件，然后进行包含

_method=__construct&filter[]=think\Session::set&method=get&server[REQUEST_METHOD]= phpinfo();?>

但是。。。

0x03 GetShell

俗话说，三个臭皮匠顶一个诸葛亮，求助师傅们后，给出了解决的办法

Noel 师傅和HTF师傅的解决方法及分析：

Request.php的filtervalue函数下存在call_user_func,根据Payload，跟踪下流程

首先会进入App.php的Run方法

public static function run(Request $request = null){        ………………………………
        // 未设置调度信息则进行 URL 路由检测
        if (empty($dispatch)) {            /*执行当前类的routeCheck方法,获取调度信息,如访问index模块下index控制器里的index方法,则
                $dispatch = arr