【漏洞复现】CVE-2021-3129 Laravel Debug mode 远程代码执行漏洞

---

声明

仅供安全研究和技术学习，切勿用于非法用途，切记！

---

前言

Laravel是一套简洁、优雅的PHP Web开发框架(PHP Web Framework)，旨在实现的Web软件的MVC架构，它可以让开发者从面条一样杂乱的代码中解脱出来，帮助构建一个完美的网络APP，而且每行代码都可以简洁、富于表达力。

在Laravel中已经具有了一套高级的PHP ActiveRecord实现 – Eloquent ORM。它能方便的将“约束（constraints）”应用到关系的双方，这样开发者就具有了对数据的完全控制，而且享受到ActiveRecord的所有便利。Eloquent原生支持Fluent中查询构造器（query-builder）的所有方法。

一、漏洞简介

当Laravel开启了Debug模式时，由于Laravel自带的Ignition 组件对file_get_contents()和file_p