ThinkPHP5.1.41代码审计思路-ThinkPHP-PHP中文网

应先执行php think route:list确认已注册路由，重点检查get/post中含变量参数的路径；未出现在列表中的控制器方法不可达，无需审计。

thinkphp5.1.41代码审计思路

怎么快速确认入口是否可控

ThinkPHP 5.1.41 的路由机制决定了绝大多数请求最终会落到控制器方法上，所以审计第一件事不是翻代码，而是确认哪些 URL 路径能真正触发你关心的类和方法。用 php think route:list 查看已注册路由，重点看 GET 和 POST 类型中带变量参数的（如 /admin/user/edit?id=1），这些才是可能传入用户输入的地方。如果某个控制器方法没出现在列表里，它基本不可达——别花时间审计它。

哪些函数调用要立刻标记高危

在 TP5.1.41 中，以下函数一旦参数部分或全部来自用户输入（input()、request()->get()、request()->post() 等），必须立刻停下来分析：

unserialize()：全局搜，但注意它是否在可访问路径下被调用；很多地方调用了，但没路由入口等于白搭
file_exists()、is_dir()、is_file()：TP5.1.41 多处用于文件操作逻辑（如 scanFilesForTree、upload），且常直接拼接 $_GET['dir']，极易触发 phar:// 反序列化
extract()：出现在模板渲染链路（View->fetch->read），若 $vars 来自 assign(request()->get())，就可能覆盖 $cacheFile 导致任意文件包含
call_user_func()、call_user_func_array()：如 DolphinPHP 的 action_log 中，第一个参数若由数据库字段或用户输入控制，就是 RCE 高危点

Linux 下大小写和路径敏感是硬伤

TP5.1.41 默认启用自动加载与命名规范校验，但很多开发者忽略这点，导致审计时漏掉真实漏洞：

btpanel phpsite 宝塔面板PHP网站

宝塔面板 PHP 网站管理：站点创建、删除、启停、PHP 版本切换、域名管理、SSL证书管理、伪静态管理、数据库管理

下载

控制器类名必须 PascalCase（UserController），方法名必须小写（index），否则 404 不进框架——但攻击者若知道真实类名（如通过报错、目录遍历），仍可能绕过路由直访 index.php?s=/user/index
public/ 是 Web 入口根目录，application/ 不应被 Web 直接访问；检查 .htaccess 或 Nginx location / 是否禁掉了 application/ 目录，否则配置文件、路由定义等可能被下载
Linux 文件系统区分大小写，app/controller/Index.php 和 app/controller/index.php 是两个文件；有些 CMS 把控制器放错位置，结果框架加载失败，但 Web 服务器直接返回源码——这是信息泄露温床

缓存和配置文件别当成“死数据”

TP5.1.41 的 runtime/ 目录默认可写，里面缓存的路由、模板编译结果、日志都可能被污染或反向利用：

runtime/cache/ 下的 PHP 缓存文件若未严格校验后缀，上传恶意文件并重命名为 xxx.php 后，可能被 include 执行
config.php 或数据库配置若被写入攻击者可控路径（如上传路径配置成 phar://xxx），后续调用 is_dir($config['upload_path']) 就会触发反序列化
某些插件或模块会把用户输入持久化进 runtime/ 下的 JSON 或 PHP 文件，下次加载时若不做反序列化过滤，unserialize(file_get_contents(...)) 就成了固定入口