1. ThinkPHP漏洞实战入门：从发现到利用
第一次参加AWD比赛时，看到靶机上跑着ThinkPHP框架，我差点笑出声。这就像在迷宫里发现了一张标着出口的地图，因为ThinkPHP的漏洞在CTF圈子里实在太出名了。记得当时手都在抖，生怕被别人抢先拿到flag。
phpinfo页面往往是突破口的关键指示灯。通过构造特殊的URL参数，我们可以让服务器吐出这个"信息大礼包"。具体操作是在URL后面拼接这样的参数：
/index.php/?s=Index/\think\View/display&content="<?><?php phpinfo();?>&data=1这个POC的工作原理很有意思。ThinkPHP框架的路由解析有个特点，它会将s参数中的反斜线解析为控制器路径。这里的Index/\think\View/display实际上是在调用View控制器的display方法，而content参数中的PHP代码会被直接执行。
2. 漏洞利用的完整链条解析
2.1 信息收集阶段
拿到phpinfo只是第一步，就像侦探破案要先勘察现场。我会重点关注这几个信息：
- PHP版本（可能关联其他漏洞）
- 禁用函数列表（影响后续利用）
- 网站绝对路径（定位关键文件）
- 加载的扩展模块（可能存在的漏洞）
有一次比赛，我就是在phpinfo里发现服务器还开着Redis服务，最后通过未授权访问拿到了flag。这些细节往往决定比赛的胜负。
2.2 目录遍历与文件查看
知道路径后，下一步就是探索文件系统。把之前的POC稍作修改：
/index.php/?s=Index/\think\View/display&content="<?><?php system('ls /../');?>&data=1这个命令会列出根目录下的文件。注意/../的使用是为了突破web目录限制，有时候需要多尝试几层目录回溯。
遇到过滤时，可以尝试这些变形：
- 使用反引号代替system函数
- 用
scandir()替代ls - 尝试
print_r(glob("*"))查看当前目录
3. AWD实战中的进阶技巧
3.1 多版本POC适配
不同版本的ThinkPHP漏洞利用方式略有差异。我电脑里存着这样的对照表：
| 版本范围 | 有效POC特征 |
|---|---|
| 5.0-5.1 | 需要闭合双引号 |
| 5.2.x | 支持简写语法 |
| 3.2.x | 要带namespace参数 |
比赛时如果遇到不生效的情况，别急着放弃，换个版本试试。有次我连续尝试了5个变种才成功。
3.2 绕过防护的奇技淫巧
现在的AWD环境越来越智能，常见防护手段包括：
- 关键词过滤（如禁用system）
- 流量监控
- 行为分析
我的应对方案是：
// 用文件操作函数代替命令执行 file_get_contents('/../flag'); // 编码混淆 $f = "s"."y"."s"."t"."e"."m"; $f("whoami"); // 时间盲注技巧 if(file_exists("/flag")) sleep(3);4. 从攻击到防御的完整闭环
4.1 漏洞修复方案
作为负责任的选手，拿到flag后别忘了修复漏洞。对于这个RCE漏洞，官方推荐的修复方式是：
- 升级到最新安全版本
- 在入口文件添加：
if(strpos($_SERVER['REQUEST_URI'], '\\') !== false){ die('Hacker!'); }- 关闭display方法的动态调用
4.2 防守方的监控策略
好的防守能让对手无从下手。我会在服务器部署这些监控：
- 实时日志分析脚本，检测异常参数
- 关键文件哈希校验
- 蜜罐文件诱捕攻击者
有次比赛，我在/flag旁边放了个假flag文件，成功捕获了三个对手的攻击payload。这种防守反击的策略往往能出奇制胜。
5. 真实比赛中的经验分享
去年的一场线下赛让我记忆犹新。当时所有队伍都在疯狂利用这个漏洞，导致比赛平台直接宕机。裁判临时修改规则，要求在不使用RCE的情况下拿flag。这时候对框架的深入理解就派上用场了。
我通过组合利用这些方法最终获胜：
- 使用ThinkPHP的日志泄露漏洞获取数据库配置
- 通过SQL注入找到管理员密码hash
- 用弱口令爆破进入后台
- 在模板编辑功能处写入PHP代码
这个案例告诉我们，不要只盯着最明显的漏洞。真正的高手需要掌握完整的攻击链条。平时可以多看看框架的官方文档，了解其架构设计，这样在遇到变种题目时才能游刃有余。
