但是注入绕过时必须要用到/**/注释，而下面这种传参形式使用/**/注释会混淆参数，因此不可用。
/index.php?s=/Home/Article/detail/id/1'.html
这个时候熟悉thinkphp3.2.3的人就会熟练的将其转化为另一种支持参数传/的url模式。
/Home/Article/detail?id=1'
这样就能绕云锁进行SQL注入了。绕过的payload，基本都是基于利用%0A产生假注释，比如。
-- /*%0Aselect/**/user()
有了SQL注入，似乎getshell近在眼前了？远没有那么简单。

虽然OneThink的后台地址是固定的
/index.php?s=/Admin/Public/login.html
看数据库也没有什么salt。

也就是说，即使你拥有数据库的权限，可以任意修改admin密码，只要你不能读config.php，也是无法进后台的。

2.    历史漏洞

OneThink的历史漏洞主要分为三部分。
一部分是经典thinkphp的exp注入，发生在登录口，因此可以直接使用exp+联合注入获取登录态。
https://xz.aliyun.com/t/8081
但新版已经修复了这个问题，会在exp后面加个空格，然后提示表达式错误。

不过可惜的是，目标已经删除了这个插件。

除此之外，如同大部分支持插件的cms一样，OneThink后台自定义插件的功能，也可以直接getshell。

3.    堆叠注入getshell
如果纯粹挖0day的话，应该还是挺困难的，但我们运气好的一点在于以及拥有了一个SQL注入，而且经过测试，这个SQL注入是支持堆叠的，也就是说我们可以修改数据库的数据了。
虽然非root无法用来读文件，也因为config.php储存salt的原因无法用来登录后台。
那么我们的目标就简单了很多，仅仅只需要找一个任意文件读取出来，就可以读salt，改管理员密码，进后台自定义插件getshell，或者缓存getshell。

然而在搜索历史漏洞的过程中，我发现了一个没有详情的文件包含漏洞。
https://blog.csdn.net/m0_46699477/article/details/130009289
显然我没有红队版goby，但它的漏洞点很清晰。
/index.php/Home/Article/index?category=1
很容易猜测出来，这里存在和exp注入登录后台一样的问题，用union select篡改表里的一些字段，达到文件包含的目的。
新版虽然修复了exp注入，但目标环境刚好存在堆叠注入，完美代替exp+union select。
代码非常简单，只需要控制category['template_index']即可文件包含。

thinkphp3报错获取绝对路径
ueditor上传非php后缀的webshell
堆叠注入绕云锁修改onethink_category. template_index
/index.php/Home/Article/index?category=1文件包含getshell

4.    其他设想

在最开始时，我以为这里仅仅只是一个is_file的判断，并没有指望可以文件包含。因此我最开始的设想是用phar://触发反序列化，由于thinkphp3+php5有着唯一一条连接mysql的反序列化链，可以用它来连接恶意mysql，达到文件读取的目的。随后读config.php获取UC_AUTH_KEY，然后再进后台或者缓存getshell。也就是。