ThinkPHP5.0.17session伪造漏洞怎么修复-ThinkPHP-PHP中文网

ThinkPHP 5.0.17 存在由 _method 参数处理不当引发的远程命令执行（RCE）漏洞，非 session 伪造；攻击者可通过传入 __construct 等魔术方法名及 filter[]=system 等参数触发 system() 执行，须升级至 5.0.25 或更高版本修复。

thinkphp5.0.17session伪造漏洞怎么修复

ThinkPHP 5.0.17 本身不包含 session 伪造漏洞，但存在一个与 _method 参数处理不当直接相关的远程命令执行（RCE）漏洞，常被误称为“session伪造”——实际是请求方法伪造（Method Parameter Pollution）导致的反序列化/变量覆盖型 RCE，影响 ThinkPHP 5.0.x 多个版本（包括 5.0.22、5.0.24 等），而 5.0.17 属于受影响范围。

该漏洞核心在于：框架未严格校验 $_POST['_method'] 参数，攻击者可传入 __construct 或 __call 等魔术方法名，结合可控参数（如 filter、s）覆盖对象属性，最终在参数过滤环节触发 system()、eval() 等函数执行。

✅ 正确修复方式（官方推荐）

升级到已修复版本

5.0 分支必须升级至 5.0.25 或更高（注意：5.0.17 后续的 5.0.18、5.0.20、5.0.22 均仍存在该漏洞）
官方已于 2019 年起停止 5.0 的功能更新，仅对高危漏洞做安全修复，5.0.25 是最后一个安全补丁版
⚠️ 不要停留在 5.0.17、5.0.18 或 5.0.22 —— 这些版本均未修复此 RCE

若暂时无法升级，临时缓解措施（不推荐长期使用）

禁用 _method 伪造功能：在入口文件或中间件中拦截非法 _method 值

if (isset($_POST['_method']) && !in_array(strtoupper($_POST['_method']), ['GET', 'POST', 'PUT', 'DELETE', 'PATCH', 'HEAD', 'OPTIONS'])) {
    exit('Invalid request method');
}

关闭调试模式（确保 app_debug = false），避免错误信息泄露类名/路径
移除所有未使用的路由和控制器方法，缩小攻击面
Web 服务器层限制：Nginx/Apache 中拒绝含 _method=__construct 或 filter[]=system 的 POST 请求

❌ 常见误区（不能修复该漏洞）

修改 session 配置（如 session.use_strict_mode=1）——无关
清空 session 数据或更换 session 存储驱动——无效
仅更新业务代码中 $_SESSION 的读写逻辑——不触及漏洞根源
使用 WAF 规则简单拦截 '_method' 字符串——易被编码绕过（如 _m%65thod）

? 验证是否修复成功

发送测试请求：

POST /index.php HTTP/1.1
Content-Type: application/x-www-form-urlencoded

_method=__construct&filter[]=system&server=whoami

若返回系统命令执行结果（如 www-data），说明仍未修复

Remix V2 Meta Sessions Review
审查 Remix v2 代码中的 v1 形态 meta 导出（v2 中为破坏性变更），cookie 安全漏洞（httpOnly、secure、密钥轮换），认证门位于错误层级，以及其他

下载
若返回 404、500 或普通页面，且无命令回显，基本可确认缓解有效（但仍建议升级）