thinkphp框架审计需从入口路由、请求处理、日志机制、反序列化链路四环节切入：先通过错误回显确认app_debug状态与架构版本，再验证request::method参数覆盖漏洞修复情况，接着探测runtime日志路径可访问性，最后排查unserialize()调用链及phar反序列化风险点。
ThinkPHP框架审计需要从入口路由、请求处理、日志机制、反序列化链路四个核心环节切入，避开仅扫描版本号的表面做法，直接定位可利用的代码路径。
确认框架版本与运行模式
访问任意不存在的URL路径（如 /index.php/abc/def），观察HTTP响应体是否包含“thinkphp”字样及完整错误堆栈；若出现类似“Error: Call to undefined method think\Request::xxx()”或“Parse error: syntax error, unexpected ‘?’”等提示，说明APP_DEBUG=true且错误回显开启。【此时日志目录和源码结构极可能完全暴露】
检查public/index.php末尾是否调用 hinkApp::run()，确认为TP5+架构；若入口文件含require './ThinkPHP/ThinkPHP.php'，则为TP3.x旧架构，后续审计路径完全不同。
在浏览器开发者工具Network面板中查看任意接口响应头，寻找X-Powered-By字段值是否为ThinkPHP/5.1.39或ThinkPHP/6.0.12等具体版本号——这是判断是否存在已知RCE漏洞的关键依据。
挖掘Request类method参数覆盖漏洞
第一步：打开thinkphp/library/think/Request.php，定位public function method($method = false)方法体。
第二步：检查是否仍存在原始写法——未对$_POST[Config::get('var_method')]的值做白名单校验，且未unset该键值。若存在，则攻击者可通过POST提交_s_=PUT&x=phpinfo()触发任意方法调用。
第三步：比对修复后代码，重点验证是否加入in_array($method, ['GET','POST','DELETE','PUT','PATCH'])判断，并执行unset($_POST[Config::get('var_method')])。缺少任一条件即视为未修复。
这一步操作起来很简单，直接把修复后的代码块复制进原文件覆盖即可，但必须重启Web服务才生效。
检测日志文件可直接下载风险
方法一：手动拼接常见日志路径尝试访问
在浏览器地址栏输入：/Application/Runtime/Logs/Home/26_08_11.log（注意年份用当前两位数26，月日按当天日期填写）→ 若返回纯文本日志内容，说明日志目录无访问控制。
方法二：利用ThinkPHP默认日志命名规则探测
构造URL：/runtime/log/202608/11/17.log → 如果HTTP状态码为200且响应体为JSON或数组格式日志，证明日志路径已迁移至runtime目录但仍可遍历。
【禁止将日志目录置于Web根目录下，必须通过配置修改log_path指向非Web可访问路径】
排查PHAR反序列化利用链
搜索项目中所有调用unserialize()或file_get_contents()并传入用户可控路径的位置，重点关注控制器中形如$this->request->param('file') → file_get_contents($file) → unserialize($content)的三段式调用。
全局检索__destruct、__toString、__call魔术方法定义位置，特别留意vendor/topthink/think-orm/src/Model.php中的toArray()、getAttr()调用链，以及thinkphp/library/think/pipeline/Stage.php中对回调函数的动态调用。
若发现unserialize()出现在/phar流协议支持开启的环境中（php.ini中phar.readonly=Off），且参数来自$_GET['input']或$_POST['data']，【立即禁用phar扩展或过滤输入中的phar://前缀】。
验证变量覆盖类漏洞
检查是否存在extract($_POST)、parse_str($_SERVER['QUERY_STRING'])、import_request_variables('g')等危险函数调用，尤其关注后台管理模块的初始化逻辑。
测试是否存在register_globals模拟行为：向任意POST接口提交?GLOBALS[database]=mysql://root:123456@localhost/test，再观察数据库连接是否被篡改。这种覆盖在TP3.x中尤为常见。
注意：TP5+默认关闭register_globals，但若项目自行封装了类似I()函数且未过滤键名，仍可能触发$$key变量覆盖。
php免费学习视频：立即使用
踏上前端学习之旅，开启通往精通之路！从前端基础到项目实战，循序渐进，一步一个脚印，迈向巅峰！
