【网络安全】反序列化漏洞研究

一、反序列化的入口与条件

1.hash验证数据

我们在cookie处提交的参数，被送到了这个validateData方法处，在这里$data的内容会被拆分。在期间其经历了一次hash值校验。我们只要用它提供的加密算法和密钥进行加密，生成数据，就能通过所有的校验，然后进入我们期望的return $pureData;环节。

1695352559_650d06efa152204f4d3f6.png!small?1695352557969

源代码如下：

public function validateData($data, $key, $rawHash = false)
    {
        $test = @hash_hmac($this->macHash, '', '', $rawHash);
        if (!$test) {
            throw new InvalidConfigException('Failed to generate HMAC with hash algorithm: ' . $this->macHash);
        }
        $hashLength = StringHelper::byteLength($test);
        if (StringHelper::byteLength($data) >= $hashLength) {
            $hash = StringHelper::byteSubstr($data, 0, $hashLength);
            $pureData = StringHelper::byteSubstr($data, $hashLength, null);

            $calculatedHash = hash_hmac($this->macHash, $pureData, $key, $rawHash);

            if ($this->compareString($hash, $calculatedHash)) {
                return $pureData;
            }
        }

        return false;
    }

2.php版本限制

上面的validateData方法，返回结果后，就回到了loadCookies方法。这里存在一个反序列化入口，就是下图else分支的内容，我们上一方法得到的反序列化数据会进入我们的反序列化入口（注意，allowed_classes 被设置为 false，则在反序列化过程中不会创建对象，只会还原基本数据类型，例如字符串、整数、数组等）。所以我们可以发现，在Yii2框架默认的环境下要进行这个反序列化操作，对php的版本是有所限制的，如下图，可以发现我们的版本中PHP_VERSION_ID 要小于70000才能到达我们期望的反序列化入口。

1695352569_650d06f971f242e402384.png!small?1695352568206

源代码如下：

protected function loadCookies()
    {
        $cookies = [];
        if ($this->enableCookieValidation) {
            if ($this->cookieValidationKey == '') {
                throw new InvalidConfigException(get_class($this) . '::cookieValidationKey must be configured with a secret key.');
            }
            foreach ($_COOKIE as $name => $value) {
                if (!is_string($value)) {
                    continue;
                }
                $data = Yii::$app->getSecurity()->validateData($value, $this->cookieValidationKey);
                if ($data === false) {
                    continue;
                }
                if (defined('PHP_VERSION_ID') && PHP_VERSION_ID >= 70000) {
                    $data = @unserialize($data, ['allowed_classes' => false]);
                } else {
                    $data = @unserialize($data);
                }
                ......
            }
        } else {
            ......
        }

        return $cookies;
    }

下面我们先直接展示漏洞利用结果。我们可以从调用栈看到已经在进行我们的反序列化过程了。最终弹出计算机验证确实存在此漏洞。

1695352583_650d070734cedae52437f.png!small?1695352581916

run方法如下：

public function run()
{
    if ($this->checkAccess) {
        call_user_func($this->checkAccess, $this->id);
}

二、config/web.php中的cookieValidationKey值

入口我们观察到了，在validateData方法里我们对需要对自己的反序列数据要进行一次hash计算，然后将hash值拼接到我们url编码后的反序列化数据前，然后附在cookie中发送。这里计算hash就需要用到我们的cookieValidationKey值，我们需要在config/web.php中搜索cookieValidationKey值。

例如下图中的"demo2"：