ThinkPHP命令注入典型触发点是控制器中system、exec等函数直接拼接未过滤的input()输入；需严格校验参数格式并用escapeshellarg包裹单个参数，禁用危险函数。
thinkphp命令注入的典型触发点在system、exec等函数的参数拼接处
ThinkPHP本身不直接调用系统命令，但业务代码常在控制器中使用system、exec、shell_exec或反引号`执行命令。只要这些函数的参数拼接了未过滤的用户输入（如$_GET、$_POST、input()返回值），就构成命令注入风险。
常见错误模式：
- 直接拼接：
system("ping " . input("host"))—— 攻击者传host=127.0.0.1;id即可执行id - 用
sprintf但未转义：sprintf("curl %s", input("url"))——url=http://a.com|cat /etc/passwd仍可注入 - 误信
escapeshellarg万能：escapeshellarg只对单个参数有效，若命令结构本身可被截断（如含&&、|、;），仍可能绕过
ThinkPHP内置方法input()默认不做过滤，不能直接用于命令参数
input()是ThinkPHP最常用的输入获取方式，但它只是对$_GET/$_POST等做基础键值提取和类型转换，**完全不进行shell元字符过滤或转义**。开发者常误以为它“安全”，实则极易埋雷。
正确做法应明确区分用途：
立即学习“PHP免费学习笔记（深入）”；
- 用于SQL查询 → 用
where()+ 参数绑定，或Db::name()->where()->select() - 用于HTML输出 → 用
htmlspecialchars()或模板自动转义 - 用于系统命令 → 必须先校验白名单（如IP格式、文件名正则），再用
escapeshellarg()包裹每个独立参数，且禁止拼接操作符
示例安全写法：
$ip = input("ip");
if (!filter_var($ip, FILTER_VALIDATE_IP)) {
throw new \Exception("Invalid IP");
}
system("ping -c 1 " . escapeshellarg($ip));
ThinkPHP 5.x的\think\App::invokeFunction可被滥用为RCE入口
CVE-2018-20062这类漏洞本质不是“命令注入”，而是通过框架路由机制，将用户可控的function和vars参数传入\think\App::invokeFunction，从而调用system、call_user_func_array等高危函数。
审计时需重点检查：
- 是否开放了
__construct、__call、__invoke等魔术方法且参数未校验 - 是否存在自定义路由规则，将URL路径段映射到任意类/方法（如
route::rule("cmd/:func","index/cmd")） - 是否在中间件或全局钩子中调用
call_user_func类函数，且第一个参数来自input()
这类利用不依赖system()直连，而是借道框架反射机制，因此更隐蔽、更难通过简单关键词扫描发现。
命令注入的防御必须分层，仅靠escapeshellarg不够
很多开发者加了escapeshellarg就以为万事大吉，但实际场景中仍有多个断裂点：
- 若命令本身含变量插槽（如
"tar -xf " . $file . " -C " . $dir），两个escapeshellarg之间仍可能被空格+分号截断 - Windows下
escapeshellarg行为与Linux不同，^、&等字符仍可被解析 - 部分ThinkPHP扩展（如某些日志驱动、缓存驱动）内部会调用
exec，若配置项来自数据库或配置文件且未校验，也会成为盲点
真正可靠的方案是：优先用PHP原生函数替代shell命令（如gethostbyaddr()代替ping，file_get_contents()代替curl），实在无法替代时，严格限定参数格式+单参数escapeshellarg+禁用危险函数（disable_functions=system,exec,passthru,shell_exec）。
