Thinkphp 6 小于 6.0.2 任意文件创建覆盖漏洞分析

本文作者：1x2Bytes（信安之路红蓝对抗小组成员）6.0.0 中有两个版本存在该漏洞, dev 版本只能覆盖任意位置的文件,6.0.0-1 则可以在特定的情况下控制写入的内容实现 getshell,看到一些师傅的 blog 的文章使用 composer 下载的源码, Thinkphp6 也确实开始使用 composer 的方式进行安装但是我使用 composer 方式下载的源码无法复现,猜测进行了修复，于是在网上找一键安装包,找了半天找到一个 11 月份的版本遂复现成功.`具体漏洞位置:在vendor\topthink\framework\src\think\session\Store.php 文件254行开始public function save(): void{ $this->clearFlashData(); $sessionId = $this->getId(); if (!empty($this->data)) { $data = $this->serialize($this->data); $this->handler->write($sessionId, $data); } else { $th ………………………………