ThinkPHP 5.1框架流程分析与RCE漏洞分析

环境搭建

1. 使用phpstudy+ThinkPHP5.1.20
2. 通过composer下载ThinkPHP5.1.20版本：

   composer create-project --prefer-dist topthink/think tp5120
   cd tp5120
   vim composer.json
   

3. 修改composer.json文件：

   "topthink/framework": "5.1.20"
   

4. 执行更新：

   composer update
   

框架流程分析

入口文件分析

/public/index.php主要功能：

namespace think;
// 加载基础文件
require __DIR__ . '/../thinkphp/base.php';
// 执行应用并响应
Container::get('app')->run()->send();

基础文件分析

/thinkphp/base.php主要功能：

1. 注册自动加载
2. 注册错误处理
3. 加载默认配置

关键自动加载方法Loader::register()：

public static function register($autoload = '') {
    // 注册系统自动加载
    spl_autoload_register($autoload ?: 'think\\Loader::autoload', true, true);
    // 其他初始化操作...
}

路由解析过程

1. 路由检测：

   • 调用routeCheck()方法
   • 获取应用调度信息$path = $this->request->path()
   • 路由检测返回Dispatch对象

2. URL解析：

   • parseUrl()方法解析URL规则
   • 解析模块、控制器、操作和额外参数

3. 模块初始化：

   • 检查模块是否在deny_module_list中
   • 检查模块路径是否存在
   • 设置当前请求的控制器、操作

路由调度执行

1. 控制器实例化：

   • 调用controller()方法实例化控制器
   • 使用parseModuleAndClass()解析模块和类名
   • 通过反射机制实例化类

2. 方法调用：

   • 获取操作方法名
   • 使用反射调用指定方法
   • 自动获取请求变量

3. 响应输出：

   • 创建响应对象
   • 发送状态码和头部信息
   • 写入日志

RCE漏洞分析

漏洞位置

\thinkphp\library\think\Container.php中的invokeFunction方法：

public function invokeFunction($function, $vars = []) {
    $reflect = new \ReflectionFunction($function);
    $args = $this->bindParams($reflect, $vars);
    return call_user_func_array($function, $args);
}

漏洞利用条件

1. 能够控制$function参数
2. 能够控制$vars参数

漏洞利用方法

1. 构造恶意URL：

   http://127.0.0.1/public/index.php?s=index/think\Container/invokefunction&function=call_user_func_array&vars[0]=phpinfo&vars[1][]=1
   

2. 关键点：

   • 利用命名空间特性绕过路径检查
   • 通过\字符直接指定类路径
   • 控制call_user_func_array的参数

漏洞原理

1. 通过think\Container路径直接访问invokefunction方法
2. 利用call_user_func_array执行任意PHP函数
3. 通过参数控制执行任意代码

防御措施

1. 升级到最新版本
2. 限制用户输入
3. 对控制器和操作名进行严格过滤
4. 禁用危险函数

总结

本文详细分析了ThinkPHP 5.1框架的执行流程和RCE漏洞原理，重点包括：

• 框架初始化过程
• 路由解析机制
• 控制器实例化过程
• 反射机制的使用
• RCE漏洞的触发点和利用方法

理解这些机制对于深入分析ThinkPHP框架的安全性和开发安全的Web应用具有重要意义。