ThinkPHP框架任意代码执行漏洞风险预警

经过深入分析，这确实是一个极其严重的问题——只要使用了ThinkPHP框架，攻击者即可直接执行任意PHP代码。所有开发者务必高度重视这一远程代码执行风险。

漏洞根源：官方的补丁到底改了啥

问题出在官方补丁所涉及的代码改动上。关键文件是 /trunk/ThinkPHP/Lib/Core/Dispatcher.class.php，补丁前后的差异如下：

125 - $res = preg_replace('@(\w+)'.$depr.'([^'.$depr.'\/]+)@e', '$var[\'\\1\']="\\2";', implode($depr,$paths));
125 + $res = preg_replace('@(\w+)'.$depr.'([^'.$depr.'\/]+)@e', '$var[\'\\1\']=\'\\2\';', implode($depr,$paths));

这段代码的作用是将pathinfo解析为RESTful风格的URL，把路径中的参数合并到$_GET数组中。重点关注正则替换部分：

$res = preg_replace('@(\w+)'.$depr.'([^'.$depr.'\/]+)@e', '$var[\'\\1\']="\\2";', implode($depr,$paths));

这里使用了preg_replace的/e修饰符——一个臭名昭著的高危配置。一旦启用，正则替换的第二个参数会被当作PHP代码执行。开发者原本意图是通过这种方式动态为数组赋值：

'$var[\'\\1\']="\\2";'

问题在于此处使用了双引号，而双引号中的变量语法可以被解析并执行。因此，攻击者只需对任意一个使用ThinkPHP框架的应用，按照以下方式访问，就能实现任意PHP代码执行：

index.php/module/action/param1/${@print(THINK_VERSION)}

由于双引号执行机制，利用过程需要一定技巧，但危害性毋庸置疑——这相当于直接向攻击者敞开了远程代码执行的大门。

现实威胁与升级建议

搜索后发现，目前仍有大量网站未修补此漏洞，数量相当可观。而ThinkPHP框架的特征非常明显，有心人编写扫描器进行批量检测并非难事。为避免更大损失，这里郑重提醒所有使用ThinkPHP进行开发的同行：请尽快升级官方的安全补丁，切勿心存侥幸。

安全无小事，一个长期被忽视的漏洞，往往就是整个系统崩溃的起点。