临时缓解ThinkPHP 5.0.21远程命令执行漏洞需四步：强制开启路由模式并禁用s参数；Nginx/Apache拦截高危路由与函数名；php.ini禁用system、eval等危险函数；Route.php或App.php添加反斜杠校验或白名单。
临时缓解 ThinkPHP 5.0.21 远程命令执行漏洞，核心思路是在无法立即升级框架的前提下，阻断常见攻击入口路径。该漏洞本质源于路由解析未严格过滤控制器与方法名，导致攻击者可通过 URL 构造如 index/ hinkpp/invokefunction 等恶意路由，调用危险函数（如 system、call_user_func_array、phpinfo）或写入 Webshell。
以下措施可快速落地，无需修改业务逻辑：
关闭非必要路由模式
ThinkPHP 5.0.21 默认启用「普通 URL 模式」（即支持 ?s=xxx 参数传入路由），这是多数 PoC 的触发前提。
→ 在 application/config.php 中强制开启「强制路由」：
'url_route_must' => true,
同时禁用 s 参数路由解析：
'var_pathinfo' => '', // 清空默认的 's'
这样可使 /index.php?s=index/ hinkpp/invokefunction 类请求直接 404。
立即学习“PHP免费学习笔记（深入）”；
限制危险类与方法的访问
在 Web 服务器层做前置拦截（推荐 Nginx）：
# 拦截含 thinkpp/invokefunction、thinkRequest/input 等高危路由片段
if ($args ~* "(s=.*?/think\\|s=.*?/think/)(app/invokefunction|Request/input|template/driver/file/write|view/driver/Php/display)") {
return 403;
}
# 拦截 assert、eval、system、call_user_func_array 等敏感函数名出现在参数中
if ($args ~* "(filter=|function=|vars[0]=)(assert|eval|system|exec|shell_exec|passthru|call_user_func_array)") {
return 403;
}Apache 用户可在 .htaccess 中使用 RewriteCond 做类似规则。
禁用危险函数（PHP 层兜底）
在 php.ini 中禁用已被利用的高危函数（注意不影响业务）：
disable_functions = system,exec,passthru,shell_exec,proc_open,popen,call_user_func,call_user_func_array,assert,eval,file_put_contents
重启 PHP-FPM 或 Web 服务生效。
⚠️ 若业务依赖其中某些函数（如 file_put_contents 写日志），可仅禁用 assert 和 eval，并配合下一条加强输入过滤。
补丁级临时修复（代码层）
在 thinkphp/library/think/Route.php 的 parseUrlPath 方法开头添加校验（适用于 5.0.21）：
// 拦截含反斜杠 的 controller 名（攻击者常用 hinkpp 形式）
if (strpos($result[0], '\') !== false) {
throw new HttpException(400, 'Invalid controller name');
}或更稳妥地，在 App.php 的 run() 方法前增加全局路由白名单检查，只允许业务实际使用的控制器命名空间（如 appindexcontroller）。
以上四类措施组合使用，能有效封堵当前公开 PoC 的全部主流利用链，包括：
-
?s=index/ hinkpp/invokefunction&function=system&vars[1][]=id -
?s=index/ hinkRequest/input&filter=phpinfo&data=1 -
?s=index/ hink emplatedriver ile/write&cacheFile=shell.php&content=...
临时缓解不是长久之计。官方已在 5.0.23 和 5.1.30 版本中修复该问题，务必尽快升级至安全版本，并对线上环境做全量渗透验证。
