ThinkPHP3.2.3目录遍历漏洞怎么加固-ThinkPHP-PHP中文网

thinkphp 3.2.3目录遍历漏洞加固需通过路径规范化、访问范围硬隔离、后缀强校验三道防线切断../利用链，禁用动态路径拼接，强制realpath()解析+白名单校验，映射表替代原始参数，后缀白名单+web服务器配置隔离敏感目录，并关闭调试模式。

thinkphp3.2.3目录遍历漏洞怎么加固

ThinkPHP 3.2.3目录遍历漏洞加固，核心不是“加一层过滤”，而是切断../从输入到文件操作的完整通路。该版本已停止维护，不能依赖补丁式修复，必须在不升级框架的前提下，通过路径规范化、访问范围硬隔离、后缀强校验三道防线堵死利用链。

所有接收用户路径参数（如$_GET['file']、$_COOKIE['tpl']）的地方，禁止直接拼接使用。必须先调用realpath()解析，再比对是否落在业务允许的绝对根目录内：

例如附件下载接口：$safeRoot = APP_PATH . 'Public/Uploads/'; $realPath = realpath($_GET['file']); if (false === $realPath || 0 !== strpos($realPath, $safeRoot)) { die('Access denied'); }
注意：realpath()会自动处理%2e%2e%2f、..%5c等编码变体，比字符串替换更可靠
避免用stripos()或str_replace()简单删../，攻击者可用....//、%c0%ae%c0%ae绕过

模板渲染、配置加载、日志读取等场景，严禁出现include($_GET['tpl'])、file_get_contents($_POST['log'])这类写法：

宝塔面板 PHP 网站管理：站点创建、删除、启停、PHP 版本切换、域名管理、SSL证书管理、伪静态管理、数据库管理

下载

改用映射表机制：定义$tplMap = ['user' => 'user_profile.html', 'admin' => 'dashboard.html']; $file = TPL_PATH . ($tplMap[$_GET['id']] ?? '404.html');
后台“模板管理”类功能，应将用户选择转为预设ID或哈希键，而非原始路径名
对file_get_contents、fopen、readfile等函数的参数，统一走上述规范化+白名单流程

即使路径合法，也要防止恶意后缀被解析执行：

提取扩展名：$ext = strtolower(pathinfo($_GET['file'], PATHINFO_EXTENSION)); if (!in_array($ext, ['pdf', 'jpg', 'png', 'txt', 'log'])) { die('Invalid file type'); }
Web服务器配置强制限制敏感目录：Apache下在Runtime/、Conf/目录放.htaccess，内容为Deny from all；Nginx中添加location ~ ^/(Application|Runtime|Conf)/ { deny all; }
关闭调试模式：APP_DEBUG = false，防止错误页面泄露真实路径，降低路径猜测成功率

这些措施已在多个TP3.2.3生产系统中验证，不改动业务逻辑，仅在入口层拦截，能有效阻断目录遍历及其衍生攻击（如RCE、敏感文件下载）。长期来看，应规划迁移到TP6或现代框架，但当前加固已足够应对常规扫描与利用。