thinkphp项目上线后被黑主因是框架层漏洞：远程代码执行（rce）最危险，如5.0.x/5.1.x中s参数触发eval执行；sql注入多因手动拼接sql未用预处理；未授权访问源于public敏感方法裸奔且无鉴权逻辑。
ThinkPHP项目上线后被黑，八成不是因为服务器配置差，而是框架层漏洞被利用——远程代码执行、SQL注入、未授权访问这三类漏洞在真实攻防对抗中出现频率最高，且往往一个请求就能拿下服务器。
远程代码执行（RCE）——最危险、最常被扫出的漏洞
攻击者无需登录，仅靠构造一个恶意URL，就能让服务器执行任意命令。ThinkPHP 5.0.x 和 5.1.x 低版本中，【s参数触发eval执行】 是最典型的入口，大量未升级站点仍在裸奔。
方法一：通过 invokefunction 调用 call_user_func_array
访问 http://target.com/index.php?s=index/\think\app/invokefunction&function=call_user_func_array&vars[0]=system&vars[1][]=whoami，若返回系统用户名，说明已中招。
方法二：利用 _method 参数配合 __construct 反序列化链
在 ThinkPHP 5.0.23 之前版本中，POST 请求携带 _method=__construct&filter[]=system&server[REQUEST_METHOD]=id，可绕过常规过滤直接执行命令。该利用方式在自动化扫描器中命中率极高。
注意：ThinkPHP 6.0.13+ 已修复核心 RCE 路由解析缺陷，但大量存量项目仍卡在 6.0.10 或更低版本，【未升级即等同于开放 shell】。
SQL注入——开发者亲手埋下的雷，90%出现在手动拼接场景
ThinkPHP 自带参数绑定机制，但只要写一句 Db::query("SELECT * FROM user WHERE id = ".$_GET['id'])，整套防护就形同虚设。
第一步：识别高危写法
检查项目中所有 Db::query()、Db::execute() 和 where("xxx = $var") 形式，这些全部属于未经过滤的原始拼接。
第二步：验证是否存在注入点
对任意带 id、name、sort 等参数的接口，尝试传入 id=1' AND SLEEP(3)--，响应延迟超 2 秒即存在时间盲注。
第三步：确认是否走预处理
打开日志或调试模式，观察 SQL 执行语句是否含占位符（如 :id 或 ?），不含则说明未启用绑定，风险坐实。
ThinkPHP 3.2.3 的 Model::find($array) 注入更隐蔽——攻击者传入数组型 options，直接绕过字符串校验，【table/alias/where 键值全可注入】，连 PDO 预处理都救不了。
未授权访问——控制器方法裸奔，连登录页都不用绕
ThinkPHP 默认将所有 public 方法映射为可访问路由，开发者若把 clearCache()、exportData()、testDbConnect() 这类敏感方法声明为 public 且未加权限判断，等于给黑客递钥匙。
方法一：暴力枚举常见敏感方法名
访问 /index.php?s=admin/testDbConnect、/index.php?s=user/clearCache、/index.php?s=api/exportAll，HTTP 200 响应即代表接口可直连。
方法二：检查 __construct 或 initialize 是否缺失鉴权
若控制器中既无 __construct() 初始化权限拦截，也无 initialize() 中调用 $this->checkLogin()，所有 public 方法默认开放。
这一步操作起来很简单，直接翻看控制器源码开头几行，没看到 if (!session('user_id')) die('Access denied'); 类似的逻辑，就已落入未授权访问风险区。
php免费学习视频：立即使用
踏上前端学习之旅，开启通往精通之路！从前端基础到项目实战，循序渐进，一步一个脚印，迈向巅峰！
