ThinkPHP5.1.37存在RCE漏洞，源于_method参数触发Request类__construct方法变量覆盖，进而通过filter+get等属性控制call_user_func_array执行system等危险函数。
ThinkPHP5.1.37 的路由机制存在可被利用的 RCE 漏洞，核心在于 _method 参数触发控制器构造函数注入，配合变量覆盖调用危险函数。整个审计流程不是靠猜，而是从入口、参数、调用链、可控点、危险函数五个环节闭环验证。
定位用户输入入口：盯死 _method 和路由解析逻辑
ThinkPHP 默认允许通过 _method 伪静态参数覆盖真实 HTTP 方法。在 Request::method() 中，若检测到 $_POST['_method'] 存在，就会将其赋值给 $this->method，随后执行 $this->{$this->method}($_POST) —— 这意味着攻击者能调用 Request 类任意公开方法，且参数完全可控。
常见触发方式为：
POST /index.php?s=index/index _method=__construct&filter[]=system&method=get&get=whoami- 关键前提是路由未禁用
var_method配置（默认开启），且请求能进入Route::check()流程
追踪变量覆盖路径：__construct 是跳板，不是终点
当 _method=__construct 时，Request::__construct() 被调用，其内部遍历 $options 数组，对每个 $name => $item 执行 $this->$name = $item。而 $options 正来自 $_POST，因此可覆盖任意类属性。
立即学习“PHP免费学习笔记（深入）”；
重点覆盖目标包括：
开箱即用的技能链路由引擎。13 条预定义链覆盖搜索、开发、审查、MLOps、法律、创意等场景，三层路由架构（触发词→SAD反馈→DAG编排），recall@10=96.97%。配置驱动（chains.yaml），零代码扩展。pip install skill-weave-chains 一键安装。
-
filter：用于后续参数过滤/回调的数组，可设为['system'] -
method：决定后续调用哪个方法（如get、post） -
get或post：对应方法名，值即为要执行的命令（如dir、id）
覆盖后，调用 $request->get('xxx') 实际会走 call_user_func_array($this->filter[0], [$this->get])，从而执行 system('id')。
确认危险函数调用链：call_user_func_array + 可控回调
漏洞真正生效的位置在 Request 类的魔术方法 __call() 或具体方法（如 get()）中，存在类似结构：
return call_user_func_array($this->filter[0], [$value]);
只要满足三个条件，RCE 就成立：
-
$this->filter[0]是可调用函数名（如system、exec、shell_exec） -
$value是用户可控字符串（来自$this->get或其他被覆盖的属性） - 该调用发生在用户输入可抵达的执行路径上（已由
_method+__construct触发）
本地复现与验证：不跑起来就等于没审计
搭建与题目一致的环境是验证前提：
- PHP 版本严格匹配 7.2–7.4（TP5.1.37 在 PHP 8+ 有兼容问题）
- 关闭 opcache，启用
xdebug，在Request::method()和__construct()处下断点 - 用 Burp 发送构造好的 POST 请求，观察变量是否成功覆盖、
call_user_func_array是否被调用、命令是否执行
典型 payload 示例（需 URL 编码）：
_method=__construct&filter[]=system&method=get&get=id
