ThinkPHP 5.0.23 远程代码执行漏洞实战：从环境搭建到POC利用

最新推荐文章于 2026-04-21 10:58:19 发布

原创

最新推荐文章于 2026-04-21 10:58:19 发布 · 1.2k 阅读

标签

#ThinkPHP #远程代码执行 #漏洞复现 #Web安全

1. 漏洞初探：ThinkPHP 5.0.23 RCE漏洞是什么？

如果你是一个PHP开发者，或者对Web安全有点兴趣，那你肯定听说过ThinkPHP。它就像PHP世界里的“瑞士军刀”，很多中小型项目都喜欢用它，因为上手快、开发效率高。但今天咱们要聊的，不是怎么用它写代码，而是它身上一个曾经非常危险的“伤口”——ThinkPHP 5.0.23版本的远程代码执行漏洞。

简单来说，这个漏洞能让攻击者“隔空”在你的服务器上执行任意命令。想象一下，你辛辛苦苦搭建的网站，别人不用登录，不用知道密码，只需要发一个精心构造的HTTP请求，就能在你的服务器上为所欲为：查看文件、创建用户、甚至植入一个长期潜伏的“后门”（也就是常说的Webshell）。这听起来是不是有点吓人？我刚开始接触这个漏洞的时候，也觉得不可思议，一个如此流行的框架，竟然存在这么严重的问题。

这个漏洞的核心，出在ThinkPHP处理HTTP请求参数的环节。在5.0.23及之前的版本中，框架在解析我们提交的请求方法时，存在逻辑缺陷。攻击者可以通过一个叫 _method 的参数，欺骗框架去调用一个名为 __construct 的方法，这是PHP中类的构造函数。一旦这个构造函数被恶意调用，攻击者就能进一步操控后续的过滤器和参数，最终把系统命令执行的函数（比如 system、exec）给“嫁接”进去。这样一来，攻击者发送的请求数据里夹带的命令，就会被服务器当成系统指令来执行。这个漏洞的利用门槛其实并不高，这也是它当时在安全圈里被广泛传播和利用的原因。