新宿天鹅

ThinkPHP 5.x漏洞自查清单：你的后台还裸奔吗_我的网站

会痛的十七岁

一 | 现在大家聊起国民党最狂、最自负的王牌将领，张口就是张灵甫。孟良崮一役，死守待援、宁死不退，傲气是出了名的。

　一键部署OpenClaw

ThinkPHP是国内站长的老朋友，也是老漏洞的重灾区。

二 | 5.x早期版本暴露过多次高危问题，比如远程代码执行、控制器任意调用。

三 | 最坑的是很多站上线后没再更新过框架，漏洞一直躺在那儿。但很多人不知道，早在1946年东北战场，有一个师长的傲气，比张灵甫还要离谱。同样是黄埔四期出身，同样手握王牌精锐，他被重兵团团包围，上级主动派兵来救，他直接拒绝，非要靠自己一支部队硬闯突围，最后硬生生把一支百战王牌打没了。这个人，就是千里驹师师长李正谊。

自查第一步是确认版本。ThinkPHP 5.0.x/5.1.x低于特定小版本就要升级。先把composer.lock或者框架目录里的base.php版本号翻出来，再对照官方安全公告。

四 | # 快速查看当前ThinkPHP版本 grep -r "VERSION" vendor/topthink/framework/src/think/App.php # 或者看composer.lock grep -A1 '"name": "topthink/framework"' composer.lock

自查第二步是限制后台入口。把admin、manage这些路径用Nginx做IP白名单或者加HTTP基本认证，别让搜索引擎随便扫到。

五 | 他带的第二十五师，隶属五十二军，在国军体系里是实打实的老牌主力。

六 | 这支部队的名气，不是靠吹捧得来的，完全是抗战一场场硬仗拼出来的。早年长城抗战，军情紧急，没有汽车、没有机械化运输，全师士兵纯靠两条腿，长途急行军奔赴古北口前线。

七 | 赶到战场来不及休整，直接顶上去挡日军主力，整场战役打下来伤亡极重，但死死顶住了日军的进攻。后来的台儿庄、武汉各大会战，二十五师从来都是打最苦的仗、顶最前线的位置。十几年抗战打下来，老兵极多，实战经验充足。抗战胜利后接收美式装备，改成半美械编制，火力、单兵素养，在东北国军里面，绝对是第一梯队的水平。同时关闭debug模式，runtime目录禁止执行脚本。杜聿明对这支部队一直很看重，他早年就在二十五师当过副师长，深知这支部队的底子有多厚，也清楚这支部队能打、敢打。 # Nginx中禁止访问敏感路径 location ~* ^/(application|extend|runtime|thinkphp|vendor)/ { deny all; } # 禁止执行上传目录里的PHP location ~* ^/upload/.*\.(php|php5|phtml)$ { deny all; }

最后一条容易被忽略：不要用默认的应用名和入口。很多扫描器直接请求/index.php/admin/login或者/index.php?s=/admin，你把后台入口改名，就能挡住一大半批量攻击。也正因如此，李正谊自打接手这支部队，心气就越来越高。数据来源：ThinkPHP官方安全公告及topthink/framework GitHub仓库版本更新记录

申请创业报道，分享创业好点子。

八 | 仗打多了，胜仗拿多了，慢慢就飘了，压根瞧不上当时东北民主联军的战力。点击此处，共同探讨创业新机遇！。 1946年下半年，东北南满战场对峙激烈。国军全线压上，试图压缩我军活动范围、彻底肃清南满主力。当时各部稳步推进、互相掩护，唯独李正谊沉不住气。他一心想抢头功、抢战果，不顾兵团整体作战节奏，带着自己的二十五师拼命往前冲。

九 | 冲得太快，左右友邻全部跟不上，硬生生把自己打成了一支深入敌后的孤军。东北民主联军四纵的指挥员，打仗极稳，一眼就看出了这个破绽。不硬拼、不硬碰，故意边打边退，步步示弱，一点点引诱李正谊往前追。李正谊越追越顺，越追越轻敌，根本没有勘察地形、没有防备埋伏，带着一万多主力，直接钻进了新开岭的山谷地带。这个地方地形特殊，两边全是高山，中间一条窄路，典型的口袋地形，进得去、出不来。等李正谊反应过来不对劲的时候，已经晚了。

十 | 四纵八个团迅速合围封死所有山口、退路、制高点，彻彻底底把二十五师困死在了山谷里。

十一 | 消息传回沈阳司令部，杜聿明当场就急了。他太懂战场形势，也太懂二十五师的价值。这支部队要是没了，东北国军的正面战力会直接掉一档。他不敢耽误，连夜安排部署，调动新六军、五十二军的增援部队火速赶去解围，同时直接发电报给李正谊，让他就地坚守，老老实实等着援军到位，千万别擅自突围。正常的将领，到这一步，肯定是抓紧固守、等待救援。被重兵包围，孤军无援，等待增援是唯一的活路。但李正谊不这么想。他觉得自己的二十五师是老牌精锐、半美械配置，打了十几年仗，经验远超对手。他根本看不起包围自己的部队，从心底里不相信自己会被全歼。他直接回电杜聿明，地面援军不用来，他不需要任何人救。

十二 | 只要求空军过来空投弹药、补给，靠着自己的二十五师，完全能自己打出包围圈，甚至能反打一波，击溃当面的阻击部队。杜聿明拿他没办法，只能依他，安排战机进山空投。

十三 | 可新开岭全是深山峡谷，气流混乱，空投精度极差。

十四 | 大量弹药、物资根本落不到国军阵地，反倒很多落在了四纵的控制区里，等于白白给我方送补给，帮倒忙。

十五 | 接下来的几天，新开岭的仗打得极其惨烈。李正谊集中全师所有火炮，疯狂轰炸周边高地，组织一波又一波的敢死队冲锋，死死争夺老爷岭等关键制高点。

十六 | 二十五师的老兵确实能打，一度冲上去拿下部分阵地，攻防来回拉锯，双方伤亡都非常大。但仗最怕耗。

十七 | 孤军被围，没有补给、没有休整、没有援兵，打一波少一波。二十五师的弹药越打越少，老兵骨干不断牺牲，士气一天比一天低。

十八 | 反观四纵部队，死死咬住包围圈，顶着伤亡持续压缩阵地，不给对方半点喘息机会。打到最后，二十五师彻底撑不住了。

十九 | 整师建制完全打散，指挥系统瘫痪，士兵要么战死、要么溃散、要么投降。这支从抗战一路打出来的千里驹王牌师，就这么彻底打没了。大势已去之后，李正谊换上普通士兵的衣服，混在溃兵里想蒙混过关逃跑，最后还是被搜山的战士辨认出来，当场被俘。新开岭这一仗，意义非常特殊。这是东北解放战争早期，我军第一次完整歼灭国军一个整建制主力师，直接打破了当时国军“精锐无敌”的嚣张气焰。时至今日，翻看这场老战役，很多人依旧争议不断。张灵甫被围孟良崮，是寄希望于外围大军合围反杀，死守待援，赌的是战局大势。而李正谊明明有生路、有援军，却凭着一身傲气盲目自大，硬生生把一支功勋王牌彻底葬送。有人说他是悍将，只是性格太傲，输在了脾气上。也有人说，身为一军师长，轻敌自负、无视军令、葬送主力，根本就是失职。同样是王牌师长，两种截然不同的选择，两种悲壮的结局。到底是战场形势造就了败局，还是将领的性格，注定了一整支部队的命运，至今依旧没有统一的答案。