CMS 与框架漏洞版图：WordPress、ThinkPHP、织梦与十年老洞的现实

框架漏洞课的开场没直接讲洞，先讲了”哪些洞值得打、哪些环境值得配”——这部分认知比 payload 本身更稀缺，单独成篇。内容综合了谢课上和欣课上两次课。

0x01 复现环境的第一课：别让系统自作主张升级

WordPress 实操技巧（做漏洞复现人人都会踩）：联网状态下安装会自动升级到最新版（版本直接跳档），原有漏洞被修复，复现失败。正确姿势：

安装前先改配置文件（WP_AUTO_UPDATE_CORE 设为 false / 关闭自动更新），再完成安装——环境版本从此稳定。

这条思路推广开就是漏洞复现的通用纪律：先锁版本再装环境，Docker 镜像选指定 tag 而不是 latest（环境搭建篇里 DVWA 的 PHP 版本地狱同理）。

课上的一个反问很清醒：Drupalgeddon2（CVE-2018-7600，8 年前的洞）实战中遇到的概率极低——现在还在用十年前老系统的企业，跟还在用 Windows 7 的一样少。

但”遇到概率低”不等于”不值得学”，判断标准是学习迁移价值：

结论：老洞学原理和利用链套路，新洞才是吃饭的家伙，两者目的不同。

现成的类比：ThinkPHP 像毛坯房（自己从头搭，灵活但容易写错），Laravel 像精装房（内置前后端全家桶，开箱即用）。

国内主流就两家：ThinkPHP 和 Laravel，Yii 同级但使用率低，其他框架占比很小；
生态活跃度比历史辉煌重要——选攻击面也一样：ThinkPHP 系的二开系统遍地都是（我的 JeecgBoot SQLi 实战就是 Java 侧的对应物），Laravel 出洞少但一出就是大的（CVE-2021-3129 那类）；
攻击面启示：打过 ThinkPHP 的反序列化链 = 掌握了国内最大单一框架攻击面——这也是为什么课堂连着三次课讲 TP 链。

织梦（DedeCMS）这类建站系统”现在用的人很少了，搜索量就能看出来”。世代交替的启示：

CMS 的攻击价值 = 存量部署规模 × 历史漏洞密度。织梦曾是国民 CMS，漏洞密度极高，但存量萎缩后值得投入的时间相应下降；
现在国内存量攻击面的主力换成了：WordPress（全球）、ThinkPHP 系二开、各类小程序/后台框架——和高校 SRC 实战周记里摸到的指纹图谱一致（金智、博达、正方、超星这些国产化技术栈）；
Java 侧同期认知：Struts2 系历史漏洞面还在，但新系统基本不用了，偶遇老系统才打（内网实战篇里”内部系统不打补丁”的案例同理）。

把课程认知压成一张表，打点时按此排序：