不同主机环境ThinkPHP漏洞表现有什么区别-ThinkPHP-PHP中文网

thinkphp rce漏洞在linux主机上更易触发命令执行，因linux默认支持shell命令链、管道符和重定向，且/bin/sh、/usr/bin/env等解释器普遍可用，proc_open、popen等函数默认启用；windows环境下则常出现命令静默失败或路径错误，需适配cmd/powershell语法并注意disable_functions绕过风险；nginx+php-fpm存在path_info注入型变种，可绕过常规参数过滤；apache+mod_php环境下若配置不当，易暴露调试信息与日志路径。

不同主机环境thinkphp漏洞表现有什么区别

Linux主机上ThinkPHP RCE漏洞更易触发命令执行

Linux环境默认支持shell命令链、管道符和重定向，攻击者构造的RCE payload可直接调用system()、exec()等函数执行任意系统命令。

例如在ThinkPHP 5.0.23以下版本中发送：GET /index.php?s=index/thinkpp/invokefunction&function=call_user_func_array&vars[0]=system&vars[1][]=id，服务器将原生返回uid=33(www-data) gid=33(www-data)等真实权限信息。

关键在于Linux下/bin/sh、/usr/bin/env等解释器普遍可用，且proc_open、popen等函数默认启用——【若禁用这些函数但未同步移除框架对它们的调用逻辑，反而会触发异常报错泄露路径】。

Windows主机上ThinkPHP漏洞常表现为命令静默失败或路径错误

Windows IIS + PHP组合中，system('whoami')可能返回空响应或Command failed，因cmd.exe对特殊字符（如&、|）解析严格，且默认不加载PATH中非系统目录的二进制。

攻击者需改用cmd /c whoami或powershell -c "$env:USERNAME"格式；若目标禁用了shell_exec但保留passthru，则必须用passthru('dir')替代system('dir')才能看到输出。

注意：Windows下php.ini中disable_functions若只写system,exec而漏掉shell_exec,passthru，漏洞仍可绕过——【ThinkPHP 5.1.29以下版本的invokefunction路由机制会自动选择首个可用的危险函数执行】。

Nginx + PHP-FPM环境存在请求头注入型RCE变种

第一步：确认Nginx是否开启fastcgi_split_path_info且正则配置宽松。常见错误配置：fastcgi_split_path_info ^(.+?.php)(/.*)$;，该规则会将/index.php/xxx中的xxx误判为PATH_INFO并传入PHP。

btpanel phpsite 宝塔面板PHP网站

宝塔面板 PHP 网站管理：站点创建、删除、启停、PHP 版本切换、域名管理、SSL证书管理、伪静态管理、数据库管理

下载

第二步：利用ThinkPHP对$_SERVER['PATH_INFO']的解析缺陷，发送GET /index.php/\think\app/invokefunction?function=call_user_func_array&vars[0]=phpinfo，此时\think\app被当作控制器名解析，绕过常规GET参数过滤。

第三步：若Nginx还配置了rewrite ^/([a-z]+)$ /index.php?s=$1 last;，则攻击者可省略.php后缀直接访问/index/thinkpp/invokefunction，进一步隐藏恶意特征。

这种组合下，即使入口文件加了$danger_params数组过滤，也拦不住从PATH_INFO注入的\think\字符串——因为$_SERVER['PATH_INFO']不在$_GET或$_POST中。