一、前言
19年初，網上公開了2個Thinkphp5的RCE漏洞，漏洞非常好用，導致有很多攻擊者用掃描器進行全網掃描。我們通過ips設備持續觀察到大量利用這幾個漏洞進行批量getshell的攻擊流量，本文主要從流量角度簡要分析和利用thinkphp進行攻擊的全網掃描和getshell流量痕跡。
二、Thinkphp RCE漏洞和掃描流量
2.1漏洞原理回顧
2.1.15.0.x版本漏洞
原理在於Thinkphp處理請求的關鍵類爲Request(thinkphp/library/think/Request.php)，該類可以實現對HTTP請求的一些設置
Thinkphp支持配置“表單僞裝變量”，默認情況下該變量值爲_method，因此在method()中，可以通過“表單僞裝變量”進行變量覆蓋實現對該類任意函數的調用，並且$_POST作爲函數的參數傳入。可以構造請求來實現對Request類屬性值的覆蓋，例如覆蓋filter屬性（filter屬性保存了用於全局過濾的函數），從而實現代碼執行。
2.1.25.1.x-5.2.x版本漏洞
與5.0.x版本漏洞相似，漏洞點都存在於Request(thinkphp/library/think/Request.php)類中，其中：
$method變量是$this->method，其等同於POST的“_method”參數值，可以利用覆蓋$filter的屬性值（filter屬性保存了用於全局過濾的函數），從而實現代碼執行。
該漏洞觸發時會出現警告級別的異常導致程序終止，此時需要設置忽略異常提示，在public/index.php中配置error_reporting(0)忽略異常繼續運行代碼，如下圖：
2.2Thinkphp漏洞全網掃描
從流量角度來看，利用Thinkphp漏洞就是發一個http包。我們發現某黑客的掃描器是先寫一個簡單的一句話作爲指紋，後續再訪問這個文件看是否返回指紋信息，訪問成功說明shell已經成功，基本就是發兩個http包，掃描器記下成功寫入的shell的網站ip和url然後手工用菜刀連接，進行後續操作。
從IPS設備日誌和人工驗證，攻擊者的攻擊步驟包含2步：1、全網掃描發送exp，根據指紋識別是否getshell；2、菜刀連接，進行遠程控制；
2.2.1全網掃描發送exp
一般掃描日誌都是遍歷B段或C段，時間也比較密集，某個被記錄的掃描器日誌片段如下，
具備3個特徵：1、目的ip爲相同C段或者B段，2、端口比較固定，3掃描時間非常密集
掃描器發送的確認shell已經寫入成功的報文，採用掃描器專用的指紋，所以ips是沒有這種檢測規則的。
2.2.2菜刀連接
在攻擊者手工菜刀連接被攻陷的站點時，也會被ips檢測到，通過上下文關聯溯源到thinkphp漏洞作爲攻擊者的突破口。挑選幾個當時記錄的典型案例：
被攻陷的鄭州服務器1（122.114.24.216）：
該網站確實爲thinkphp5發開，當時webshell木馬還在服務器上未被刪除。可以通過服務器訪問黑客上傳的該木馬，指紋信息爲baidu，掃描器用這個指紋來自動判斷getshell成功並記錄url。
被攻陷的四川服務器（182.151.214.106）：
被攻陷的四川服務器（182.151.214.106）：
這個案例木馬雖然被清除，但是當時服務器還是可以連通，服務器也是thinkphp框架，用戶名疑似chanpei
設備記錄了黑客連接木馬並執行網絡查詢命令時的報文，得到的信息與以上報錯信息一致。並且看得出服務器也所處爲內網的一臺機器，截圖看到至少該網絡包含192.168.9.0和192.168.56.0兩個子網，如下圖：
被攻陷的美國服務器（161.129.41.36）：
美國這臺服務器上的webshell也被清理掉了，通過設備抓包，發現有黑客使用了相同的webshell木馬，即 x.php，懷疑是同一批黑客。
黑客在瀏覽美國服務器上x.php（webshell）文件內容時，設備記錄了x.php的密碼爲xiao，並且標誌位也是baidu。
可以看出利用這兩個Thinkphp高危RCE漏洞，當時是掃到了大量的服務器漏洞的。
三、總結
本文結合Thinkphp的歷史漏洞原理，分享了發現利用Thinkphp漏洞攻擊成功的案例。目前設備每天檢測到最多的日誌就是weblogic、struts2、thinkphp這類直接getshell的日誌或者ssh rdp暴力破解日誌。很多攻擊者一旦發現最新的exp就裝備到自己的掃描器上面全網一陣掃，一天下來可能就是若干個shell。所以出現高危漏洞後建議用戶及時打上補丁，配置好安全設備策略，從實際幾個案例來看，掃描器的風險一直都在。如果能配置好網站禁止ip直接訪問，能在某種程度上緩解一下這種威脅。由於水平有限，歡迎大家指出文中的錯誤和交流指教
更多學習內容請訪問：
騰訊T3-T4標準精品PHP架構師教程目錄大全，只要你看完保證薪資上升一個臺階（持續更新）
以上內容希望幫助到大家，很多PHPer在進階的時候總會遇到一些問題和瓶頸，業務代碼寫多了沒有方向感，不知道該從那裏入手去提升，對此我整理了一些資料，包括但不限於：分佈式架構、高可擴展、高性能、高併發、服務器性能調優、TP6，laravel，YII2，Redis，Swoole、Swoft、Kafka、Mysql優化、shell腳本、Docker、微服務、Nginx等多個知識點高級進階乾貨需要的可以免費分享給大家，需要的可以加入我的官方羣點擊此處。