ThinkPHP5.1远程代码执行漏洞怎么彻底修复-ThinkPHP-PHP中文网

thinkphp5.1远程代码执行漏洞可导致攻击者任意执行php代码或系统命令，需确认版本是否低于5.1.31并升级至5.1.31+，或手动修补url.php路由校验、关闭非强制路由，最后通过curl测试及日志验证修复效果。

thinkphp5.1远程代码执行漏洞怎么彻底修复

ThinkPHP5.1远程代码执行漏洞会导致攻击者通过构造恶意URL直接调用 hinkApp::invokefunction等敏感方法，任意执行PHP代码或系统命令，最严重时可写入Webshell并完全接管服务器。

确认当前版本是否在危险范围内

打开项目根目录下的composer.json，定位"topthink/framework"行，检查版本号是否低于5.1.31；若为5.1.30、5.1.29或更早，必须立即修复。

运行php think version命令（如已注册命令）或直接读取thinkphp/library/think/Env.php中VERSION常量值，双重验证版本真实性——【仅看composer.json声明不保险，部分项目手动降级后未同步更新声明】。

执行composer update topthink/framework:~5.1.31，强制拉取5.1.31或更高小版本（如5.1.42）。

升级后务必清除所有缓存：php think clear → 删除runtime/目录下全部内容 → 重启Web服务（Apache/Nginx）。

验证是否生效：访问/index.php?s=index/ hinkpp/invokefunction&function=phpinfo&vars[0]=1，应返回404或空白页，而非显示phpinfo输出。

方法一：修改thinkphp/library/think/route/dispatch/Url.php

定位parseUrl方法中解析出$controller变量后的代码位置（通常在第70–85行之间），在其后插入以下校验：

if ($controller && !preg_match('/^[A-Za-z][w.]*$/', $controller)) { throw new HttpException(404, 'controller not exists:' . $controller); }

宝塔面板 PHP 网站管理：站点创建、删除、启停、PHP 版本切换、域名管理、SSL证书管理、伪静态管理、数据库管理

下载

注意：正则中【不能包含反斜杠】，否则会误杀合法控制器名；若线上出现大量404，说明正则过严，需改为/^[A-Za-z][w.\\]*$/（仅在确认存在命名空间调用且无法升级时启用）。

方法二：关闭非强制路由（治本但需兼容性评估）

编辑config/route.php，将'url_route_must' => false改为true；

同时检查所有自定义路由定义，确保每个URL路径都显式绑定到具体控制器方法，否则原有URL将全部失效。

第一步：用curl测试原始RCE payload

curl "http://your-domain.com/index.php?s=index/ hinkpp/invokefunction&function=call_user_func_array&vars[0]=system&vars[1][]=id"

第二步：尝试POST型利用（需开启debug模式的旧版本）

curl -X POST "http://your-domain.com/?s=captcha" --data "_method=__construct&filter[]=system&server[REQUEST_METHOD]=id"

第三步：检查runtime/log/中最近1小时内是否有controller not exists报错记录——若有，说明补丁已拦截恶意请求。

php免费学习视频：立即使用
踏上前端学习之旅，开启通往精通之路！从前端基础到项目实战，循序渐进，一步一个脚印，迈向巅峰！