ThinkPHP5.0.22远程代码执行漏洞如何修复-ThinkPHP-PHP中文网

ThinkPHP5.0.22存在远程代码执行漏洞（CVE-2018-1002015），因未严格校验请求方法和路由参数，可通过_method=__construct&filter[]=system等方式调用高危函数；临时修复措施包括封堵Request类method参数污染、强制启用路由约束、Web服务器层拦截攻击特征、禁用PHP高危函数。

thinkphp5.0.22远程代码执行漏洞如何修复

ThinkPHP5.0.22 存在远程代码执行漏洞（CVE-2018-1002015 等），核心问题是框架未严格校验用户可控的请求方法和路由参数，导致攻击者可通过 _method=__construct&filter[]=system 或 s=/thinkpp/invokefunction 等方式调用高危函数。若暂时无法升级到 5.0.24+，可采取以下四类非升级修复措施，覆盖主流利用链：

封堵 Request 类 method 参数污染
该漏洞常通过 POST 参数 _method 触发任意方法调用（如 __construct）并配合 filter[] 执行 system、phpinfo 等函数。

打开 thinkphp/library/think/Request.php，定位 method() 方法中处理 $_POST[Config::get('var_method')] 的逻辑段

在赋值 $method = $_POST[...] 前插入白名单校验：

$method = $_POST[Config::get('var_method')] ?? 'POST';
if (!in_array(strtoupper($method), ['GET', 'POST', 'PUT', 'DELETE', 'PATCH'])) {
  $method = 'POST';
}
unset($_POST[Config::get('var_method')]);

保存后重启 PHP-FPM 或 Web 服务，即可阻断 _method=xxx&filter[]=system 类攻击

强制启用路由约束并禁用危险命名空间解析
攻击者常利用 ?s=index/ hinkconfig/get 或 ?s=index/ hinkpp/invokefunction 绕过控制器校验。

修改 application/config.php，添加或确认以下配置：

'url_route_must' => true, // 关闭隐式路由，强制走定义路由
'route_rule' => [
  'deny' => ['^/think\\', '^/index\\/think\\'] // 注意双反斜杠转义
],

检查 route/route.php 中是否存在类似 Route::any('(.*)', '\think\App@invokeFunction'); 的通配规则，有则立即删除
若项目未自定义路由，可临时注释掉 route.php 全部内容以收窄入口

Web 服务器层拦截已知攻击特征
在 Nginx 或 Apache 配置中从源头过滤高频 payload，无需修改 PHP 代码。

Nginx（写入 server 块）：

if ($args ~* "(s=.*?/think|_method=|filter[]=|vars[[0-9]+][]=)") { return 403; }
if ($request_uri ~* "/index.php?.*?/thinkpp/invokefunction") { return 403; }

Apache（写入 .htaccess 或虚拟主机配置）：
```
RewriteCond %{QUERY_STRING} (s=.*/think|_method=|filter[]=|vars[[0-9]+][]=) [NC]
RewriteRule ^ - [F]
```
重点拦截 /thinkconfig/get、/thinkpp/invokefunction、/think equest/input 及 filter[]=system 等组合特征

btpanel phpsite 宝塔面板PHP网站
宝塔面板 PHP 网站管理：站点创建、删除、启停、PHP 版本切换、域名管理、SSL证书管理、伪静态管理、数据库管理

下载

禁用 PHP 高危内置函数（应急兜底）
当代码层修复滞后时，可在 php.ini 中限制函数执行能力，作为最后一道防线。

编辑 php.ini，设置：

disable_functions = system,exec,passthru,shell_exec,proc_open,popen,pcntl_exec,call_user_func,call_user_func_array,eval,assert

注意：assert() 在 PHP 7.2+ 默认为语言结构，但部分旧环境仍为函数；eval 虽为语言结构不可禁用，但禁用 assert 和 call_user_func_array 可大幅降低 RCE 成功率
修改后重启 PHP 服务，并在测试环境验证是否影响正常功能（如日志写入、模板渲染等）

不复杂但容易忽略

php免费学习视频：立即使用
踏上前端学习之旅，开启通往精通之路！从前端基础到项目实战，循序渐进，一步一个脚印，迈向巅峰！