如何新增控制器? 在Lib/Action中新增一个控制器:ProductAction.class.php: <?php class ProductAction extends Action{          public function index(){         echo 'product模块 , index方法';     } } 然后通过url访问: 这此要引入一个非常重要的一个概念: url调度模式:就是我们在访问网站时的使用不同的ur访问方式 tp支持四种访问方式:可以通过U

前言: 昨天爆出了ThinkPHP5框架缺陷导致远程命令执行,大佬们都赶上潮流挖洞,小白还是默默学习一下这个漏洞 漏洞影响范围: Thinkphp 5.1.0 - 5.1.31 Thinkphp 5.0.5 - 5.0.23 漏洞产生原因: Thinkphp5.x版本(5.0.20)中没有对路由中的控制器进行严格过滤,在存在 admin,index 模块.没有开启强制路由的条件下(默认不开启),导致可以注入恶意代码利用反射类调用命名空间其他任意内置类,完成远程代码执行. 漏洞分析: 既然是没有正

tp5访问入口文件的时候是,访问public目录下的index.php,那么她真正访问的url到底是什么?如何去访问其他页面,实际上她默认使用的PATH_INFO模式进行访问. PATHINFO模式 想想在我使用tp3.2的时候,也是利用的path_info去访问,再往前刚接触的php的时候,我们写的php脚本访问的时候就是按照文件位置去访问的对应url,例如http://localhost/test/a/b/c.php,确实这种就是普通的路由访问,直接按照url去找你对应文件夹下的php然后执

摘要 近日thinkphp团队发布了版本更新https://blog.thinkphp.cn/869075 ,其中修复了一处getshell漏洞. 影响范围 5.x < 5.1.31<= 5.0.23 危害 远程代码执行 漏洞分析 以下漏洞分析源于斗鱼SRC公众号:斗鱼安全应急响应中心分析补丁:802f284bec821a608e7543d91126abc5901b2815路由信息中controller的部分进行了过滤,可知问题出现在路由调度时.以5.1.23版本进行分析,执行路由调度的代码如

一. tp5.0.0-5.0.12 这版本是直接可以利用的,无需captcha模块. 分析:thinkphp/library/think/App.php 中的run方法: filter(方法就是给$request->filter属性赋值: 然后默认配置的值: 所以也就是不管用户是否设置,这里$request->filter属性都会被重置.这里其实是一点不影响整个漏洞的. 影响漏洞的在后面: 然后执行的:app::routeCheck->Route::check( 这里route->

在WkWebView与JavaScript交互中,经常会在原生中注入MessageHandler,app中注入MessageHandler的方法 WKWebViewConfiguration *config = [[WKWebViewConfiguration alloc] init]; config.userContentController = [WKUserContentController new]; //注入handler [config.userContentController a

不得不说,thinkphp5就是个十足的坑货, 在thinkphp3.2.3的基础上,函数.用法变了也就忍了, 在mac下写的一个类文件 GetRedisData.php,在mac+mamp环境下是正常运行的 但是把一模一样的文件放到centos下,tp就报错找不到类 开始我还以为是nginx才会出现这个问题,后来发现不是这样  换apache也是一样 查资料,5.0的手册上写着的“类文件采用驼峰法命名”,没错啊,"GetRedisData"这不就是驼峰法吗? 折腾了很久,无意中把文件

入口文件后加一个空格就行了 1,首先cd到站点目录public下,我的入口文件是默认的index.php,然后执行以下命令,, 2,php要加入环境变量,index.php后面加空格,然后是模块,控制器,方法名 php index.php home/index/test

在编写robotframework自动化断言的过程中,我遇到了如下问题: 我想写一个两个金额判断是否相等的断言,其中一个金额是展示字段存在千分位分隔符,另一个金额是input带入字段,没有千分位分隔符,我期望得到相等的结果,但是报错了!!!!作为小白的我完全无从下手,今天终于找到了解决办法----------String标准库. 话不多说,放上标准库的官方文档http://robotframework.org/robotframework/latest/libraries/String.html

创建定时器会在一定的间隔后执行某些操作,一般大家会这样创建定时器,这样创建的定时,self对定时器有个引用,定时器对self也有个引用,造成了循环引用,最终造成了内存泄漏,如果定时器在做下载的操作就会一直下载. 1 self.timer = [NSTimer scheduledTimerWithTimeInterval:1.0 target:self selector:@selector(startTimer) userInfo:nil repeats:YES]; 解决办法:首先创建NSTime

Thinkphp5 assign 传递 " 时 ,前台收到的是 " 和ThinkPHP3.2不一样,3.2收到的是 ”,传递给js时 用的data.replace(new RegExp('"','g'),'"')替换回来貌似不好,获取值的时候可以用 {$data.abc|raw} 解决传入参数"替换&quot问题也就是如果前台传入的是json数据 后台用 { |raw}解决 Thinkphp5.1在部分Base.php 控制器中 \think\Re

路由常用对象 RouteBase 用作表示 ASP.NET 路由的所有类的基类.        就是路由的一个基础抽象类. // // 摘要: // 用作表示 ASP.NET 路由的所有类的基类. [TypeForwardedFrom("System.Web.Routing, Version=3.5.0.0, Culture=Neutral, PublicKeyToken=31bf3856ad364e35")] public abstract class RouteBase { //

<?php // +---------------------------------------------------------------------- // | ThinkPHP [ WE CAN DO IT JUST THINK ] // +---------------------------------------------------------------------- // | Copyright (c) 2006~2016 http://thinkphp.cn All

config.php <?php// +----------------------------------------------------------------------// | ThinkPHP [ WE CAN DO IT JUST THINK ]// +----------------------------------------------------------------------// | Copyright (c) 2006~2018 http://thinkphp.

thinkphp5最出名的就是rce,我先总结rce,rce有两个大版本的分别 ThinkPHP 5.0-5.0.24 ThinkPHP 5.1.0-5.1.30 因为漏洞触发点和版本的不同,导致payload分为多种,其中一些payload需要取决于debug选项比如直接访问路由触发的 5.1.x : ?s=index/thinkRequest/input&filter[]=system&data=pwd ?s=index/thinkviewdriverPhp/display&c

TCP以流的形式进行数据传输,上层的应用协议为了对消息进行划分,往往采用如下的4种方式. (1)消息长度固定,累计读到长度总和为定长len的报文后,就认为读取到了一个完整的消息:然后重新开始读取下一个“完整”的数据包: (2)将回车换行符作为消息结束符,如ftp协议: (3)将特殊的分隔符作为消息的结束标识,回车换行符j是一种特殊的分隔符: (4)通过在消息头中定义的长度字段表示消息的总长度: Netty对以上4种应用做了抽象,提供了4种解码器,有了解码器,码农们不用考虑TCP的粘包.拆包的问题

TCP以流的方式进行数据传输,上层的应用协议为了对消息进行区分,往往采用如下4种方式. (1)消息长度固定,累计读取到长度总和为定长LEN的报文后,就认为读取到了一个完整的消息:将计数器置位,重新开始读取下一个数据报: (2)将回车换行符作为消息结束符,例如FTP协议,这种方式在文本协议中应用比较广泛: (3)将特殊的分隔符作为消息的结束标志,回车换行符就是一种特殊的结束分隔符: (4)通过在消息头中定义长度字段来标识消息的总长度. Netty对上面四种应用做了统一的抽象,提供了4种解码器来解决

俗话说的好,前人栽树后人乘凉,最近看了很多博文,不少博文提到了NSTimer的销毁问题, 之前我都没怎么注意,现在对照着文章一一实践发现坑还真不少.下面是我读到的几篇博文分享给大家 @啸笑天的NSTimer@庞海礁的个人空间@汪海的实验室「iOS 中的 NSTimer」 这几篇文章阐述了NSTimer的销毁问题,并且都给出解决方案 这里就提供一个简洁的方案,是由啸笑天提供的 + (NSTimer *)ez_scheduledTimerWithTimeInterval:(NSTimeInterva

iOS中控制器的释放问题 ARC工程是可以重写dealloc方法并被系统调用的,但不需要手动调用父类的dealloc,手写[super dealloc]方法会报错,事实上系统会自动帮你调用父类的dealloc方法,不需要你实现.可以通过在dealloc方法中打印log查看控制器是否被释放. 控制器在被pop后移出栈后会被释放,但有些时候会发现控制器出栈的时候不会调用dealloc方法,归根结底,是因为当前控制器被某个对象强引用了,控制器的引用计数不为0,系统无法帮你释放这部分内存. 控制器中NS

TCP    以流的方式进行数据传输上层的应用协议为了对消息进行区分,往往采用如下4种方式. (1)消息长度固定,累计读取到长度总和为定长LEN 的报文后,就认为读取到了一个完整的消息,将计数器置位,重新开始读取下一个数据报:(2)将回车换行符作为消息结束符,例如FTP协议,这种方式在文本协议中应用比较广泛:(3)将特殊的分隔符作为消息的结束标志,回车换行符就是一种特殊的结束分隔符:(4)通过在消息头中定义长度字段来标识消息的总长度. Netty对上面四种应用做了统一的抽象提供了4种解码器来解决

1.路由的问题 1.1 // pathinfo分隔符 'pathinfo_depr' => '-'设置-后,如果访问的是/index/index 化,路由规则就不能解析 必须改为index-index即可 1.2 绑定模块后,只能访问本模块,其他模块不可以访问,绑定的模块不需要出现在url路由中