ThinkPHP是为了简化企业级使用拓荒和敏捷WEB使用拓荒而诞生的，由于其简略易用，许多cms都根据该结构改写。可是 Thinkphp在缓存使用却存在缺陷，天然生成缓存时，Thinkphp会将数据序列化存进一个php文件，这就产生了很大的网安效果。
0×01 状况建立
目标
phpstudy
http://www.phpstudy.net/phpstudy/phpStudy20191103.zip
Jymusic cms
http://www.jyuu.cn/topic/t/41
xyhcms
https://pan.baidu.com/s/1qYhTKc8
建立
设备好phpstudy，把jymusic目次下的全部文件及文件夹拷贝到phpstudy的www目次下，浏览器访问http://localhost/install.php，然后设置配备铺排一下数据库信息便可。


其他xyhcms设备类似，这儿不赘述。
0×02当地后台getshell
Jymusic cms
先看一下管理员登录页面的源代码，看到焦点进口为ThinkPHP.php，找到并关上查看

创造使用缓存目次为Temp文件夹

关上Temp文件夹会创造有许多缓存文件，我们随意关上便可看看，可以创造里边的内容有点像网站设置配备铺排信息，只不过是序列化后的效果


所以我们在后台的网站设置处拔出一句话，就会被ThinkPHP写入缓存文件。而且这个缓存文件的文件名都是固定不变的，这也是引起getshell的原因原由。



成功拔出后，我们来运转一下phpinfo()函数看看，菜刀也能成功联接




xyhcms
xyhcms和Jymusic cms相同使用了ThinkPHP结构，这儿不赘述，直接给出缓存文件的位置


xyhcms真实还有一个缝隙漏洞bug，在模板管理处可以添加一个php后缀的模板，文件内容也未做任何检测过滤。上面是成功getshell进程


0×03总结
真实现在许多小型网站都是根据ThinkPHP结构拓荒的，许多都存在这类效果。当你找不到上传点的时间，可以尝尝这类 *** 。当然，确认有人会说，这个要后台登录才能使用，你仅仅在当地复现，都没实战过，说个锤子。真实，我还真的实战过，仅仅不方便贴图，使用弱口令做暗码照样挺多的，所以锤子未必不可用。还有，有的网站，当然说你用很简略的 *** getshell，然则真实可以研讨的器械还有许多，比方你getshell今后创造权限不足，那就可以尝尝提权，例如用udf提权、使用mysql远程联接联合sqlmap提权等等，当然有些 *** 很早就有了，然则并非每个人都邑，而且一些老的思绪还有或许启迪你新的思虑，承继加油吧！