Thinkphp5文件包含

S1nJa

已于 2023-02-18 17:02:46 修改

阅读量950

点赞数 2

分类专栏： php 代码审计文章标签： php 开发语言

于 2022-05-22 10:17:27 首次发布

本文链接：https://blog.csdn.net/weixin_54902210/article/details/124907456

版权

代码审计同时被 2 个专栏收录

10 篇文章 1 订阅

订阅专栏

php

9 篇文章 0 订阅

订阅专栏

审完这个暂时就先不审了，去刷下ctfshow的tp题先试试手

影响版本

5.0.0<=ThinkPHP5<=5.0.18 、5.1.0<=ThinkPHP<=5.1.10

环境

我这里有之前安好的5.0.12就直接用了

\application\index\controller\index.php

<?php
namespace app\index\controller;
use think\Controller;
class Index extends Controller
{
    public function index()
    {
        $this->assign(request()->get());
        return $this->fetch(); // 当前模块/默认视图目录/当前控制器（小写）/当前操作（小写）.html

    }
}

application/index/view/index/index.html 内容任意(空文件亦可)，主要是作为控制器中index方法的模板

分析

payload

?cacheFile=1.php			#我在public下写了一个1.php便于文件包含

首先是进入get(),其实get()就是获取我们get传参的值，内容也比较简单所以就粗略的跟进下。

$this->get不为空，$name是字符串，所以没进入if，直接进入input()(圈出来的是各参数值)
在这里插入图片描述

input的前两个if都绕开了，getFilter()给$filter多赋了个null值，之后进入array_walk_recursive()回调filterValue()（这里的$data就是上一步的$get值)
在这里插入图片描述

跟进后其实也没执行啥，就执行了最后的filterExp()，对用户传参进行过滤，但这个基本上是针对sql的所以对我们的payload没影响最终返回$data的值，其实$data的值自始至终没发生过改变

在就跟进assign()了，$name就是get()方法retrun的值，也就是$data的值

protected function assign($name, $value = '')
{
    $this->view->assign($name, $value);
}

再跟进$this->view->assign($name, $value);的assign()

通过array_merge()，将$this->data和$name的值合并传给$data,但$this->data默认为null，所以也就相当于把$name给了它，retrun返回$this
在这里插入图片描述

回到我们自己定义的控制器$this->assign(request()->get());就执行完了，再跟进下一行的fetch()

protected function fetch($template = '', $vars = [], $replace = [], $config = [])
{
    return $this->view->fetch($template, $vars, $replace, $config);
}