ThinkPHP反序列化常见利用点-ThinkPHP-PHP中文网

thinkphp反序列化pop链本质是通过可控入口串联魔术方法（如__destruct→file_exists→__tostring→__call）逐步跳转，最终触发任意代码执行或文件操作；关键在于属性可控性与自动调用的接力逻辑。

thinkphp反序列化常见利用点

think\process\pipes\Windows::__destruct 触发 file_exists 强制类型转换

这是 ThinkPHP 5.x 和 6.x 中最稳定、复现率最高的反序列化入口点之一。关键在于 __destruct 中调用 removeFiles()，而该方法内部存在 file_exists($filename) ——当 $filename 是一个对象时，file_exists 会尝试将其转为字符串，从而强制触发 __toString()。

常见错误现象：Warning: file_exists() expects parameter 1 to be a valid path, string given，说明类型转换失败，通常是因为没控制好 $this->files 属性或私有属性名拼写错误（如漏掉 \0think\process\pipes\Windows\0files 中的不可见字符）。

实操要点：

$this->files 必须是数组，且至少一个元素为可控对象（如伪造的 think\model\Pivot 或 think\cache\driver\File 实例）
私有属性需严格按格式构造：s:15:"\0think\process\pipes\Windows\0files";a:1:{i:0;O:...
避免在链中引入依赖容器或上下文的方法（如 app()、config()），否则容易因环境缺失中断

think\cache\driver\Psr6Cache::__destruct 调用 save 导致任意写入

Psr6Cache 类在 TP6 中常作为 POP 链跳板，其 __destruct 直接调用 $this->pool->save(...)，而 $this->pool 和 $this->key 均为可序列化控制的属性。只要让 $this->pool 指向一个能执行写操作的缓存驱动（如 File 驱动），再配合 $this->key 控制文件路径，就可能实现任意文件写入。

使用场景：目标允许反序列化且已加载 PSR-6 兼容缓存组件（如 symfony/cache 或框架内置适配器）。

btpanel phpsite 宝塔面板PHP网站

宝塔面板 PHP 网站管理：站点创建、删除、启停、PHP 版本切换、域名管理、SSL证书管理、伪静态管理、数据库管理

下载

参数差异与风险：

$this->pool 若设为 think\cache\driver\File 实例，需确保其 $this->options['path'] 可控，否则写入位置不可预测
$this->key 若含目录遍历（如 ../../public/shell.php），需确认目标缓存驱动未对 key 做路径规范化过滤
TP6.0.12+ 对 Psr6Cache 的 save() 增加了类型校验，若传入非 CacheItemInterface 实例会抛出异常，需构造合法 item 对象

think\model\Model::save 方法绕过判断触发 updateData

Model 类的 save() 是 TP5/6 中高频利用点，但实际触发 updateData() 需满足多个条件：必须让 $this->exists === true、$this->data 非空、$this->trigger('BeforeWrite') 返回 true（默认为 true）、且 isEmpty() 返回 false。

容易踩的坑：

直接设 $this->exists = true 不够，部分版本会检查 $this->table 和主键字段是否已初始化，否则在 updateData() 中提前退出
getChangedData() 默认返回空数组，需通过设置 $this->data 和 $this->origin 差异来生成变更数据，否则 $data 为空导致后续跳转失败
若链最终走向 db()->query()，要注意 $this->table 是否被硬编码或受命名空间影响（如 think\model\Pivot 的表名逻辑特殊）

toString → toJson → getRelation → call 形成回调执行闭环

这条链常见于 TP5.1.x 和早期 TP6，核心路径是：某对象触发 __toString() → 调用 toJson() → toArray() 中调用 getRelation($key) → 若 $key 是恶意字符串且 getRelation 内部调用 $this->$key()，而该方法不存在，则触发 __call() → 若 __call() 将参数传给 call_user_func_array()，即可执行任意回调。

性能与兼容性影响：