thinkphp3.2.3 关于缓存导致的getshell

在项目中，合理的使用缓存对性能有较大的帮助。ThinkPHP提供了方便的缓存方式，包括数据缓存、静态缓存和查询缓存等，支持包括文件方式、APC、Db、Memcache、Shmop、Sqlite、Redis、Eaccelerator和Xcache在内的动态数据缓存类型，以及可定制的静态缓存规则，并提供了快捷方法进行存取操作。

这里就讲框架自带的三种缓存方式！

对于白盒来说的话，只要知道Cache的Name的话 那么肯定可以得到相应的文件名，另外一种生成文件名的方式是当没有指定缓存的名称的时候，这个时候这个文件名就是根据数据库的数据来动态进行生成

需要注意的是：这里的换行符为\n，在http请求中可以用%0a来进行表达

在16进制代码中"0A"是换行，如果只有"0D"，那么光标会回到这一行的开始处，只有"0A"、"0D"一起用，才能使光标到下一行的开始处。

第一种：数据缓存

    public function test02(){
        S('name',"\nphpinfo();//");
    }

正则匹配：S\(.*?

第二种：快速缓存

    public function test02(){
        F('name','\nphpinfo()//'); //第一种快速缓存的方式
        F('name','<?php phpinfo();//',TEMP_PATH); //第二种快速缓存的方式，进行指定文件名name.php和指定缓存路径
    }

正则匹配：F\(.*?

第三种：查询缓存

    public function test02(){
        M('user')->where('id',1)->cache(60)->select();
    }

正则匹配：M\('表名'.*?->cache\(

---

以上就是三种tp3 缓存的方式了！

自己还需要总结下的就是：

1、一般前两种如果内容可控的话，那么一般就可以拿到权限

2、第三种的话，可以看到一般是从数据库中取出然后对其中的内存进行写入缓存文件，所以可以去找写入数据库的内容是否可控，二者联系

最后还有个就是：类似第三种查询缓存方式所生成的文件名需要如何知道？

https://www.kancloud.cn/manual/thinkphp/1837 tp3的文档中有写到会 根据当前的查询条件等信息生成一个带有唯一标识的查询缓存

import hashlib
 
a = 'a:4:{s:5:"where";a:1:{s:2:"id";i:1;}s:5:"cache";a:3:{s:3:"key";b:1;s:6:"expire";i:60;s:4:"type";s:0:"";}s:5:"table";s:4:"user";s:5:"model";s:4:"user";}'
b= hashlib.md5(a.encode()).hexdigest()
c= hashlib.md5(b.encode()).hexdigest()