百家讲坛

ThinkPHP 5.x漏洞自查清单：你的后台还裸奔吗_我的网站

A |     

　    一键部署OpenClaw        

ThinkPHP是国内站长的老朋友，也是老漏洞的重灾区。5.x早期版本暴露过多次高危问题，比如远程代码执行、控制器任意调用。最坑的是很多站上线后没再更新过框架，漏洞一直躺在那儿。    

     自查第一步是确认版本。ThinkPHP 5.0.x/5.1.x低于特定小版本就要升级。先把composer.lock或者框架目录里的base.php版本号翻出来，再对照官方安全公告。    # 快速查看当前ThinkPHP版本    grep -r "VERSION" vendor/topthink/framework/src/think/App.php         # 或者看composer.lock    grep -A1 '"name": "topthink/framework"' composer.lock    

自查第二步是限制后台入口。在讲述了这个故事之后，王鑫开始经营一家人工智能的初创公司，深圳市永和人工智能科技有限公司。

B | 把admin、manage这些路径用Nginx做IP白名单或者加HTTP基本认证，别让搜索引擎随便扫到。

C | 同时关闭debug模式，runtime目录禁止执行脚本。    # Nginx中禁止访问敏感路径    location ~* ^/(application|extend|runtime|thinkphp|vendor)/ {        deny all;    }         # 禁止执行上传目录里的PHP    location ~* ^/upload/.*\.(php|php5|phtml)$ {        deny all;    }    

最后一条容易被忽略：不要用默认的应用名和入口。很多扫描器直接请求/index.php/admin/login或者/index.php?s=/admin，你把后台入口改名，就能挡住一大半批量攻击。    数据来源：ThinkPHP官方安全公告及topthink/framework GitHub仓库版本更新记录

申请创业报道，分享创业好点子。业界和外界对这位被誉为“最佳产品经理”的产品经理充满了期待。大家都非常关注他的新公司、新团队和新创业项目。点击此处，共同探讨创业新机遇！。经过一年的默哀，云松爱官方开始预热新产品，发布了预热海报“让我们换种方式谈谈”，最终决定于1月15日在深圳举行一次会议。最后，王鑫带着第一个新的创业项目“山上厕所”来到了这里。我们之所以使用“遇到困难”这个词，是因为toilemt是一个社交软件。厕所mt的官方网站是这样的：“厕所mt是一个个人联系的黑暗网络，朋友圈的阴影，所有看不见和听不见的信息，甚至删除的内容都可能出现在这里。”虽然是匿名聊天，但它属于社交网络产品的范畴。与当天发布的其他两款社交产品一样，Toilemt也将面临腾讯QQ和微信用户10多亿年来的巨大压力。不要胡说八道，谈一些第一次坐便器mt的经验：从坐便器mt的名字开始，用以前的水命名为*chat，*letter，exchanges…王欣的社交产品与那些具有主观信息传递和在线社交网络字面含义的产品相比，有着非常俗气的名字。“toilemt”这个名字似乎不可能与社交产品竞争，但不是坐在马桶上刷信息、短视频、玩手游，是移动互联网时代互联网用户最真实的写照吗？卫生间的整体建筑设计、交互设计、用户界面设计都做得很好，很“大工厂气质”。

D | 安装包的初始版本不是很大，Android版本只有28.44m，iOS版本只有97.3MB。在一定程度上也决定了早期版本的社会能力过于简单。在社会功能层面上，厕所mt将基于LBS的“附近人”功能与我们以前的社会产品中的浮瓶功能相结合。基于LBS的位置信息，卫生间的mt用户可以通过支持文本的形式，通过表达式包、图片、语音等输入方法发起窃窃私语或分组聊天。这几乎就像是在附近钓鱼寻找一个瓶子来查看和回复，但这个瓶子可能有点大，许多人可以一起查看和回复。支持投票启动，最多可设置四个选项供选择。

E | 红包可以添加到发起的窃窃私语或群聊中。

F | 新增厕所mt用户需要充值的红包部分，微信支付和支付宝支付方式（下载第一版支付宝支付方式尚未开通，后续版本需更新）。我想体验一下微信支付补货过程中的“红包”，显示“订单提交失败”，我不知道是厕所mt的原因还是微信支付的原因。

G | 详细信息：toilemt用户发起的群聊有效期仅为1小时，启动群聊后进入倒计时。倒计时结束后，集团解散，厕所的mt用户自动沉淀。当然，一小时倒计时还没有结束，而团体聊天的发起人也可以提前人为地结束话题。当所有的窃窃私语和群聊倒计时结束后，下面的界面出现了：我突然意识到王鑫已经给这个社交产品命名为mt steel，马桶刷了！UUUUUUUUUUUUUUUU在未来，社交网络不会称我为微我！让我来吧！叫“我们一起洗厕所”！其他细节：第一版厕所的mt注册和登录没有建立实名认证机制，所以现在手机号码基本上需要一个实名制，厕所mt做匿名社交互动，这个链接会被省略吗？厕所mt不需要有昵称、签名、化身和其他设置。

H | 用户在与图片的耳语中的最新图片将成为虚拟人物，但虚拟人物不会显示在群聊中。群组聊天的话题发起者有自己的化身。

I | 小组聊天的参与者是纸牌人物，如梅花3。mt group chat可以通过共享主题密码来邀请其他用户参与群聊。主题密码类似于之前的淘宝手机密码和支付宝的奖金代码。在专题信息中，设计了一种举报机制，可以自行举报违规行为。小组聊天主题的最大参与者人数尚未经过测试，应在新闻发布会上公布。以上是作者在使用了第一版的卫生间MT后的信息，仅供参考，本文的观点仅代表了第一版。王鑫作为一家人工智能初创公司经营着这一共识。人工智能技术在厕所机器翻译中的应用可能要等到会议正式宣布。作者将继续关注王鑫的新创业项目。

Current article:http://ovk1d5h.shangyaohujunwei.bond/8765/myqu.html

Published on:21:37:29