Yii2框架反序列化漏洞复现(CVE-2020-15148)

snowlyzz

已于 2022-10-25 23:20:46 修改

阅读量1.7k

点赞数 1

分类专栏：漏洞复现文章标签：安全 php web安全网络安全

于 2022-10-25 22:20:09 首次发布

本文链接：https://blog.csdn.net/snowlyzz/article/details/127519938

版权

本文详细介绍了Yii2框架中的CVE-2020-15148反序列化漏洞的复现过程，包括错误的链子查找和正确的利用链子。通过魔术方法`__destruct`和`__call`，结合`call_user_func_array`，展示了如何利用可控参数触发远程代码执行。最后，作者总结了利用链子的关键点，强调了灵活运用魔术方法和回调函数的重要性。

摘要由CSDN通过智能技术生成

前言：

phpthink 的链子有点长暂时先复现一下简单点的框架，跟着师傅们的思路学习一下，提高一下自己的代码审计能力，搞完这个复现也该去学java了

源码地址：https://github.com/yiisoft/yii2/releases/download/2.0.37/yii-basic-app-2.0.37.tgz

该漏洞适用于YII2.0.38之前，用户如果可以控制unserialize的传入值，则可以进行远程代码执行。

环境用的是PHPstudy。需要修改config\web.php中cookieValidationKey为任意值，作为yii\web\Request::cookieValidationKey的加密值，不然会发送报错。

CVE-2020-15148漏洞复现

一般的反序列化链子都会以魔术方法 __destruct 作为起点来找利用点这个漏洞也是的。全局搜索 __destruct ，对于这个魔术方法有很多文件都有，只能一个一个去找利用点去探索了。

其实开查找也挺方便的直接 CTRL + 左键，最终找到 /vendor/yiisoft/yii2/db/BatchQueryResult.php reset() 方法可以利用这会又可以调用 _dataReader下的close方法。

class BatchQueryResult{
    private $_dataReader;
         
   public function __destruct()
    {
        // make sure cursor is closed
        $this->reset();
    }

    public function reset()
    {
        if ($this->_dataReader !== null) {
            $this->_dataReader->close();
        }
        $this->_dataReader = null;
        $this->_batch = null;