所有Yii2 版本反序例化漏洞修复

最新推荐文章于 2025-03-06 20:08:30 发布

原创最新推荐文章于 2025-03-06 20:08:30 发布 · 872 阅读

0 ·

CC 4.0 BY-SA版权

文章标签：

#php #Yii2 漏洞 #Yii2 漏洞修复 #Yii2反序列化漏洞修复

PHP 专栏收录该内容

15 篇文章

订阅专栏

反序列化漏洞允许攻击者通过构造恶意输入来控制程序执行，可能导致代码执行、服务器接管等严重后果。该漏洞存在于多种编程语言中，如PHP、Java、Python。PHP的魔术方法如__wakeup、__construct、__destruct等在反序列化过程中可能被利用。修复方案通常是在类中添加__sleep和__wakeup方法，阻止对象的序列化和反序列化。受影响的包括Yii2框架的某些版本。了解并防范这类漏洞对于维护应用安全至关重要。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

什么是反序列化漏洞

也叫PHP对象注入，漏洞形成的根本原因是程序没有对用户输入的反序列化字符串进行检测，导致反序列化过程可以被恶意控制，进而造成代码执行、getshell等一系列不可控的后果。这个漏洞并不是PHP特有，在Java、Python其他语言也存在，原理基本相通。

比较典型的PHP反序化漏洞可能会用到的魔术方法

1.void __wakeup(void)

2.void __construct ([ mixed $args [, $... ]])

具有构造函数的类会在每次创建新对象时先调用此方法。

3.void __destruct ( void )

析构函数会在到某个对象的所有引用都被删除或者当对象被显式销毁时执行。

4.public string __toString ( void )

5.__toString( ) 方法用于一个类被当成字符串时应怎样回应。例如 echo $obj;应该显示些什么。

漏洞利用过程

1.有一个漏洞触发点 unserialize($_GET['input']);

2.漏洞的效果取决于_destruct这个魔术函数内的操作

3.构建poc.php，利用程序，先序列化后，从可控输入$_GET['input']输入进去。

原理

1.通过serialize来修改类变量，因为serialize序列化一个对象将会保存对象的所有变量，但是不会保存对象的方法，只会保存类的名字。

2.实际能达到什么效果，要取决于类中的魔术方法了。

Yii2 反序列化漏洞
受影响版本 < Yii2.0.38版本
BatchQueryResult.php 文件中的BatchQueryResult类

所有版本
DiskKeyCache.php 文件中的Swift_KeyCache_DiskKeyCache类
RunProcess.php 文件中的RunProcess类

修复方案：
在类中加入以下方法

public function __sleep()
{
    throw new \BadMethodCallException('Cannot serialize '.__CLASS__);
}

public function __wakeup()
{
    throw new \BadMethodCallException('Cannot unserialize '.__CLASS__);
}

参考以下网址：
https://github.com/yiisoft/yii2/security/advisories/GHSA-699q-wcff-g9mj
https://blog.csdn.net/he_and/article/details/108684623