手机上怎么买彩票双色球 微信上有人推荐买彩票 能合买彩票的平台 夫妻买彩票狂中30亿 买彩票心态 买彩票就买大乐透开奖结果 哪个平台买彩票安全吗 买彩票有买一个号的吗 怎么看走势图买彩票 如何在电脑上买彩票 美国几岁可以买彩票? 福彩工作人员买彩票 彩客网买彩票 能在微信上买彩票吗 怎么买彩票容易中

天融信关于ThinkPHP5.1框架结合RCE漏洞的深入分析

来源£º本站整理 作者£º佚名 时间£º2019-04-25 TAG£º 我要投稿

在前几个月£¬Thinkphp连续爆发了多个严重漏洞¡£由于框架应用的广泛性£¬漏洞影响非常大¡£为了之后更好地防御和应对此框架漏洞£¬阿尔法实验室对Thinkphp框架进行了详细地分析£¬并在此分享给大家共同学习¡£
本篇文章将从框架的流程讲起£¬让大家对Thinkphp有个大概的认识£¬接着讲述一些关于漏洞的相关知识£¬帮助大家在分析漏洞时能更好地理解漏洞原理£¬最后结合一个比较好的RCE漏洞(超链接)用一种反推的方式去进行分析£¬让大家将漏洞和框架知识相融合¡£体现一个从学习框架到熟悉漏洞原理的过程¡£
 
0x01 框架介绍
ThinkPHP是一个免费开源的£¬快速¡¢简单的面向对象的轻量级PHP开发框架£¬是为了敏捷WEB应用开发和简化企业应用开发而诞生的¡£ThinkPHP从诞生以来一直秉承简洁实用的设计原则£¬在保持出色的性能和至简的代码的同时£¬也注重易用性¡£
 
0x02 环境搭建
2.1 Thinkphp环境搭建
安装环?#24120;ºMac Os MAMP集成软件
PHP版本£º5.6.10
Thinkphp版本£º5.1.20
thinkphp安装包获取£¨Composer方式£©£º
首先需要安装composer¡£
curl -sS https://getcomposer.org/installer | php
下载后£¬检查Composer是否能正常工作£¬只需要通过 php 来执行 PHAR£º

若返回信息如上图£¬则证明成功¡£
然后将composer.phar 移动到bin目录下并改名为composer
mv composer.phar /usr/local/bin/composer
Composer安装好之后£¬打开命令行£¬切换到你的web根目录下面并执行下面的命令£º
composer create-project topthink/think=5.1.20 tp5.1.20 –prefer-dist
若需要其他版本£¬可通过修改版本号下载¡£
验证是否可以正常运行£¬在浏览器中输入地址£º
http://localhost/tp5.1.20/public/

如果出现上图所示£¬那么恭喜你安装成功¡£
2.2 IDE环境搭建及xdebug配置
PHP IDE工具有很多£¬我推荐PhpStorm£¬因为它支持所有PHP语言功能£¬ 提供最优秀的代码补全¡¢重构¡¢实时错误预防¡¢快速导?#28966;?#33021;¡£
PhpStorm下载地址£ºhttps://www.jetbrains.com/phpstorm/
Xdebug
Xdebug是一个开放源代码的PHP程序调试器£¬可以用来跟踪£¬调试和分析PHP程序的运行状况¡£在调试分析代码时£¬xdebug十分好用¡£
下面我们说一下xdebug怎么配置£¨MAMP+PHPstrom£©
1.下载安装xdebug扩展(MAMP?#28304;?£©¡£
2.打开php.ini文件£¬添加xdebug相关配置
[xdebug]
xdebug.remote_enable = 1
xdebug.remote_handler = dbgp
xdebug.remote_host = 127.0.0.1
xdebug.remote_port = 9000 #端口号可以修?#27169;?#36991;免冲突
xdebug.idekey = PHPSTROM
然后重启服务器¡£
2.3.客户端phpstorm配置
2.3.1点击左上角phpstorm£¬选择preferences

2.3.2 Languages & Frameworks -> PHP£¬选择PHP版本号£¬选择PHP执行文件¡£


在选择PHP执行文件的时候£¬会显示 “Debugger:Xdebug”£¬如果没有的话£¬点击open打开配置文件¡£

将注释去掉即可¡£
2.3.3配置php下的Debug

Port和配置文件中的xdebug.remote_port要一致¡£
2.3.4配置Debug下的DBGp proxy

填写的内容和上面php.ini内的相对应¡£
2.3.5配置servers

点击+号添加
2.3.6配置debug模式


在Server下拉框中£¬选择我们在第4步设置的Server服务名称£¬Browser选择你要使用的浏览器¡£所?#20449;?#32622;到此结束¡£
2.4.xdebug使用

开启xdeubg监听

[1] [2] [3] [4] [5] [6] [7] [8] [9]  下一页

¡¾声明¡¿:黑吧安全网(http://www.rliwo.live)登载此文出于传递更多信息之目的£¬并不代表本站赞同其观点和对其真实性负责£¬仅适于网络安全技术爱好者学习研究使用£¬学习中请遵循国家相关法律法规¡£如有问题请联系我们£¬联系邮箱[email protected]£¬我们会在最短的时间内进行处理¡£
  • 最新更新
    • 相关阅读
      • 本类?#35753;?/li>
        • 最近下载
        ¹ºÂò²ÊƱȨÍþÍøÖ·
        手机上怎么买彩票双色球 微信上有人推荐买彩票 能合买彩票的平台 夫妻买彩票狂中30亿 买彩票心态 买彩票就买大乐透开奖结果 哪个平台买彩票安全吗 买彩票有买一个号的吗 怎么看走势图买彩票 如何在电脑上买彩票 美国几岁可以买彩票? 福彩工作人员买彩票 彩客网买彩票 能在微信上买彩票吗 怎么买彩票容易中