layuiajax提交表单控制层代码_漏洞预警|ThinkPHP 5.0 远程代码执行

漏洞预警|ThinkPHP 5.0 远程代码执行

2019-01-11

事件来源

2019年1月11日，ThinkPHP Github仓库发布了新的版本v5.0.24，包含重要的安全更新，山石安服团队经过分析把该漏洞危险级别定为严重。

漏洞描述

ThinkPHP是一个快速、兼容而且简单的轻量级国产PHP开发框架。在国内的使用量非常广。

ThinkPHP的Request类的method方法中，可以通过“表单请求类型伪装变量”进行变量覆盖实现对该类任意函数的调用。攻击者通过该漏洞可能完全控制Web服务器。

影响范围

ThinkPHP < 5.0.24

漏洞防护

1. 尽快更新到最新版本。

自检方式

1. 搜索项目源代码中是否存在thinkphp关键字。

2. 验证poc ：

POST提交

_method=_construct&filter[]=system&method=get&server[REQUEST_METHOD]=ls+-al

参考链接

https://github.com/top-think/think/releases/tag/v5.0.24

如需帮助请咨询 hscert@hillstonenet.com

关于我们

山石瞭望是山石网科一群热爱生活、热爱工作、专注网络安全的安全工程师团队，依赖多年的安全经验搜罗全网，从而推出的一个安全动态和威胁情报共享平台，每天定时推送，可为用户提供及时最新的威胁动态。最终帮助用户更好的了解企业面临的威胁，从传统的“知己”过渡到“知彼知己”。

企业关注山石瞭望，提升企业的安全能力。

个人关注山石瞭望，保护自己的个人信息。

layuiajax提交表单控制层代码_漏洞预警|ThinkPHP 5.0 远程代码执行相关推荐

layuiajax提交表单控制层代码_有奖直播TI最新低成本 C2000特性解读，快速上手精细电源与电机控制！...
在不断发展的汽车和工业电源转换市场中,设计人员正在寻求能够帮助他们应对两个关键设计挑战的创新:如何轻松扩展实时控制资源?以及如何构建和维护长期的平台解决方案? 长按下方二维码,预约直播:TI最新C20 ...
layuiajax提交表单控制层代码_Ninja Forms：免费的联系表单插件，却提供了付费表单才有的功能【视频+图文】...
Ninja Forms不仅能够可视化创作询盘表单,还能记录询盘.添加隐藏字段.添加反垃圾验证.提交表单时可设置多个动作,这在Wpforms插件中可都是付费功能,同时,Ninja Form激活安装量一百 ...
layuiajax提交表单控制层代码_究竟怎么用Restful风格编代码必看这篇。（二）
点击上方"IT咸鱼",星标公众号每天分享技术栈,开发工具等简单急记几个小点:RequestMapping注解的使用和里面涉及到的参数用途和写法 @RequestMapping(& ...
layuiajax提交表单控制层代码_无代码搭建系统（一）——流程表单搭建
迎着2020疫情带来的线上办公.远程协同办公,把无代码带上风口浪尖,众多无代码厂商迅速发展起来,推出自己的无代码产品.实现全民开发,是无代码发展的愿景和目标.数字化和网络化使各行各业的客户对应用开发的 ...
提交表单到mysql数据库_记录第一次实现表单数据提交到数据库
经过几周的Web前端学习我初步对.html文件.php文件有了一定的了解.首先我们来复习一下学过的知识. HTML页面实际上就是静态的网页页面,我们可以用html+css(层叠样式表)来创作出具有不 ...
fastjson反序列化漏洞_漏洞预警Fastjson再爆反序列化代码执行漏洞；星巴克被发现存在信息泄露风险...
漏洞预警 Fastjson再次爆出通杀的反序列化代码执行漏洞漏洞信息据态势感知平台监测,网络上再次出现此前未曾发现的fastjson反序列化攻击向量. Fastjson是由阿里巴巴推出基于Java ...
不能执行已释放 script 的代码_[漏洞预警]CVE20190708远程桌面代码执行漏洞利用工具已放出...
漏洞描述 2019年5月14日微软官方发布安全补丁,修复了Windows远程桌面服务的远程代码执行漏洞,该漏洞影响了许多版本的Windows操作系统.该漏洞在不需身份认证的情况下即可远程触发,危害与影 ...
linux struts2漏洞,重大漏洞预警：Struts 2 远程代码执行漏洞(s2-045\s2-046) (含PoC)
背景介绍近日,安全研究人员发现著名J2EE框架--Struts2存在远程代码执行的漏洞,Struts2官方已经确认该漏洞(S2-045,S2-046),并定级为高危漏洞. Struts2 的使用范围 ...
war包启动命令_【漏洞预警】Oracle WebLogic远程命令执行0day漏洞（CVE20192725补丁绕过）...
概述近日,奇安信天眼与安服团队通过数据监控发现,野外出现Oracle WebLogic远程命令执行漏洞最新利用代码,此攻击利用绕过了厂商今年4月底所发布的最新安全补丁(CVE-2019-2725). ...

layuiajax提交表单控制层代码_漏洞预警|ThinkPHP 5.0 远程代码执行

layuiajax提交表单控制层代码_漏洞预警|ThinkPHP 5.0 远程代码执行相关推荐

最新文章

热门文章