thinkphp 5.0.23 rce漏洞是路由解析与__construct参数覆盖触发的硬编码逻辑缺陷，攻击者通过_method=__construct覆盖filter和server参数，再利用未过滤的call_user_func_array执行system('id')等命令，无需配置、调试模式或认证。
ThinkPHP 5.0.23 的 RCE 漏洞不是配置问题或调试模式导致的，而是路由解析与 __construct 方法参数覆盖共同触发的硬编码逻辑缺陷——只要目标运行该版本，且未升级补丁，任意 HTTP 请求即可触发，无需认证、无需 WAF 绕过、不依赖任何中间件。
为什么 _method=__construct 能绕过路由校验？
框架在解析请求时，会把 _method 参数当作 HTTP 方法名处理，并尝试调用 Request 类的对应方法。但当传入 _method=__construct 时，框架不会真正执行构造函数（PHP 不允许显式调用），而是触发魔术方法 __call 的兜底逻辑。而 5.0.23 中的 __call 实现直接将 $args 传给 call_user_func_array，没有过滤键名和值类型。
-
filter[]=system会覆盖Request实例的filter属性，使其变成数组['system'] -
server[REQUEST_METHOD]=id覆盖了server数组中REQUEST_METHOD键的值，后续被$this->server('REQUEST_METHOD')读取 -
method=get是为了通过Route::check()中对$rules[$method]的判空逻辑，避免路由解析提前失败
filter 数组如何导致代码执行？
ThinkPHP 在调用控制器方法前，会对输入参数做自动过滤，逻辑位于 think\Request::param() 或相关调用链中。当 filter 属性被设为 ['system']，再配合被污染的 server[REQUEST_METHOD]，框架会在某处执行类似 call_user_func_array($this->filter[0], [$this->server('REQUEST_METHOD')]) 的调用。
- 这等价于
system('id')，即直接执行系统命令 -
filter支持传入任意可调用函数名，如phpinfo、exec、shell_exec，甚至assert（若assert未被禁用） - 注意：PHP 7.2+ 默认禁用
assert的代码执行能力，但system和exec仍有效
常见利用失败的三个关键点
很多复现卡在“没回显”或“404”，其实和 payload 写法、路径、环境强相关：
- 必须确保 URL 中的
s参数能进入默认路由解析流程，例如/index.php?s=captcha或/index.php?s=index/index；纯静态路径（如/index.php）可能跳过漏洞触发点 -
_method=__construct拼写错误很常见：__construt（少一个c）或__constructor都无效，必须是 PHP 原生魔术方法名 - 某些 Docker 环境中
system被禁用（disable_functions包含system,exec,shell_exec），此时需换用passthru或print_r(scandir('.'))这类非系统调用函数
这个漏洞最危险的地方在于：它发生在框架最基础的请求分发层，所有基于 5.0.23 及更早版本的线上站点，只要没打补丁，就等于在入口处敞开了一扇没锁的门——而攻击者只需要知道域名，连登录都不需要。
php免费学习视频：立即使用
踏上前端学习之旅，开启通往精通之路！从前端基础到项目实战，循序渐进，一步一个脚印，迈向巅峰！
