ThinkPHP代码审计实战教程-ThinkPHP-PHP中文网

phar反序列化是当前主流触发点，而非unserialize()；thinkphp 5.1–6.0利用链依赖phar://协议通过file_exists()等函数自动反序列化meta-data，结合__wakeup()与__destruct()构建pop链，think\container因动态调用机制成高频靶点。

thinkphp代码审计实战教程

unserialize() 不是入口，phar:// 才是当前主流触发点 ThinkPHP 5.1–6.0 系统性反序列化漏洞的利用链，基本已不再依赖显式的 unserialize() 调用。你全局搜到的那些 unserialize()，90% 在非用户可控上下文中（如缓存反序列化、框架内部配置还原），根本无法从 HTTP 请求直接触达。真正稳定、通用、绕过成本低的入口，是 phar:// 协议触发——只要文件操作函数对用户上传/可控路径做了判断，就可能中招。

常见可触发 phar:// 的函数包括：

file_exists()
is_file()
is_dir()
file_get_contents()
fopen()
include() / require()（需配合 phar.stream_wrapper_register()）

这些函数在解析 phar:// URI 时，会自动反序列化其 meta-data 段，从而激活 POP 链。ThinkPHP 中大量存在类似逻辑，比如文件删除、资源校验、模板加载等场景。

怎么快速定位 `phar` 可利用点

别一上来就翻 thinkphp/library 目录。先聚焦应用层控制器和中间件——因为只有它们能被路由直接调用。搜索关键词要组合使用：

file_exists( + $（找变量传参）
is_file( + input( 或 param(）
rmdir( / unlink( + 用户参数）
->template( / ->fetch( + 动态路径拼接）

重点看参数是否经过 Request::param()、Input::get()、$this->request->file() 等获取，且未做路径白名单或协议过滤。例如：

btpanel phpsite 宝塔面板PHP网站

宝塔面板 PHP 网站管理：站点创建、删除、启停、PHP 版本切换、域名管理、SSL证书管理、伪静态管理、数据库管理

下载

public function delete()
{
    $path = $this->request->param('file');
    if (file_exists($path)) {
        unlink($path);
    }
}

这里 $path 若为 phar://./uploads/test.phar，file_exists() 就会触发反序列化。

`destruct()` 和 `wakeup()` 哪个更关键

在 ThinkPHP 的 POP 链中，__destruct() 是绝大多数链的终点，不是起点。真正决定链能否走通的，是 __wakeup() 是否被调用、以及它是否执行了危险操作（比如属性赋值后触发后续调用）。ThinkPHP 5.1 的经典链就依赖 think\process\pipes\Windows::__wakeup() 中对 $this->files 的遍历，而该属性又可被控制为任意对象数组。

__wakeup()：必须存在且未被重写（如某些类里写了空实现），否则链在第一步就断掉
__destruct()：通常用于最终执行，比如调用 system()、file_put_contents() 或触发 __call()
注意：PHP 7.4+ 默认禁用 unserialize() 对 __wakeup() 的调用（当类定义了 __unserialize()），但 phar:// 触发不受此限制

为什么 `think\Container` 是高频利用靶点

ThinkPHP 6.0 引入 think\Container 作为核心依赖容器，它实现了 PSR-11 接口，并大量使用魔术方法。它的 invokeClass() 方法会调用 __invoke()，而很多门面类（如 Cache、Log）都继承自 think\Facade，其 __callStatic() 又会代理到容器实例。这就形成了一条天然的“调用跳板”：