ThinkPHP 5.0.17 存在由 _method 参数处理不当引发的远程命令执行（RCE）漏洞，非 session 伪造；攻击者可通过传入 __construct 等魔术方法名及 filter[]=system 等参数触发 system() 执行，须升级至 5.0.25 或更高版本修复。
ThinkPHP 5.0.17 本身不包含 session 伪造漏洞，但存在一个与 _method 参数处理不当直接相关的远程命令执行（RCE）漏洞，常被误称为“session伪造”——实际是请求方法伪造（Method Parameter Pollution）导致的反序列化/变量覆盖型 RCE，影响 ThinkPHP 5.0.x 多个版本（包括 5.0.22、5.0.24 等），而 5.0.17 属于受影响范围。
该漏洞核心在于：框架未严格校验 $_POST['_method'] 参数，攻击者可传入 __construct 或 __call 等魔术方法名，结合可控参数（如 filter、s）覆盖对象属性，最终在参数过滤环节触发 system()、eval() 等函数执行。
✅ 正确修复方式（官方推荐）
升级到已修复版本
-
5.0 分支必须升级至
5.0.25或更高（注意：5.0.17 后续的 5.0.18、5.0.20、5.0.22 均仍存在该漏洞） - 官方已于 2019 年起停止 5.0 的功能更新，仅对高危漏洞做安全修复，5.0.25 是最后一个安全补丁版
- ⚠️ 不要停留在 5.0.17、5.0.18 或 5.0.22 —— 这些版本均未修复此 RCE
若暂时无法升级，临时缓解措施（不推荐长期使用）
-
禁用
_method伪造功能：在入口文件或中间件中拦截非法_method值if (isset($_POST['_method']) && !in_array(strtoupper($_POST['_method']), ['GET', 'POST', 'PUT', 'DELETE', 'PATCH', 'HEAD', 'OPTIONS'])) { exit('Invalid request method'); } -
关闭调试模式（确保
app_debug = false），避免错误信息泄露类名/路径 - 移除所有未使用的路由和控制器方法，缩小攻击面
-
Web 服务器层限制：Nginx/Apache 中拒绝含
_method=__construct或filter[]=system的 POST 请求
❌ 常见误区（不能修复该漏洞）
- 修改 session 配置（如
session.use_strict_mode=1）——无关 - 清空 session 数据或更换 session 存储驱动——无效
- 仅更新业务代码中
$_SESSION的读写逻辑——不触及漏洞根源 - 使用 WAF 规则简单拦截
'_method'字符串——易被编码绕过（如_m%65thod）
? 验证是否修复成功
-
发送测试请求：
POST /index.php HTTP/1.1 Content-Type: application/x-www-form-urlencoded _method=__construct&filter[]=system&server=whoami
-
若返回系统命令执行结果（如
www-data），说明仍未修复
Remix V2 Meta Sessions Review下载审查 Remix v2 代码中的 v1 形态 meta 导出（v2 中为破坏性变更），cookie 安全漏洞（httpOnly、secure、密钥轮换），认证门位于错误层级，以及其他
立即学习“PHP免费学习笔记（深入）”；
若返回 404、500 或普通页面，且无命令回显，基本可确认缓解有效（但仍建议升级）
该漏洞本质是框架设计缺陷，唯一彻底方案是升级到 5.0.25 或迁移至 ThinkPHP 6.x/8.x。
