CVE-2020-15148漏洞存在于Yii2 <2.0.38版本，2.0.42已修复：其在BatchQueryResult类中强制添加__wakeup()抛出异常，阻断反序列化流程，使__destruct→__call→call_user_func_array→run利用链无法执行。
Yii 2.0.42 实际上已修复 CVE-2020-15148 反序列化漏洞（该漏洞存在于 2.0.38 之前版本），因此无法在 2.0.42 中复现该漏洞。若目标是复现此反序列化 RCE 漏洞，必须使用存在漏洞的旧版本，如 2.0.37 —— 这是官方确认受影响且常用于教学/测试的稳定版本。
为什么不能用 2.0.42 复现？
2.0.38 版本起，Yii 团队已在 yii\db\BatchQueryResult 类中强制添加了 __wakeup() 方法，内容为直接抛出异常：throw new BadMethodCallException('Deserializing BatchQueryResult is not allowed.');
该机制会阻断反序列化流程，后续利用链（__destruct → __call → call_user_func_array → run）根本不会执行。2.0.42 作为后续版本，完全继承并强化了这一防护。
正确搭建可复现环境（推荐 2.0.37）
以下步骤基于真实复现验证，适用于 Windows/Linux/macOS：
- 从 GitHub 下载 Yii 2.0.37 官方发布包（zip 或 tar.gz），解压到 Web 可访问目录（如
phpstudy/www/yii2-test或~/Sites/yii2-test） - 编辑
config/web.php，在第 17 行左右找到'cookieValidationKey' => ''，填入任意非空字符串，例如：'cookieValidationKey' => 'k3y_f0r_d3v_only_123', - 确保 PHP 版本为 7.1–7.4（兼容性最佳；PHP 8+ 可能因严格类型或废弃函数导致报错）
- 终端进入项目根目录，执行：
php yii serve --port=8080
访问http://localhost:8080出现 Yii 默认欢迎页即表示基础服务启动成功
添加反序列化入口点（关键步骤）
默认 Yii 2.0.37 不暴露反序列化接收点，需手动添加可控的 unserialize() 调用位置：
- 在
controllers/下新建VulnController.php，内容如下：
namespace app\controllers;
use yii\web\Controller;
class VulnController extends Controller {
public function actionIndex() {
if (isset($_GET['data'])) {
@unserialize($_GET['data']); // 模拟不安全反序列化
}
return 'done';
}
}
- 访问
http://localhost:8080/index.php?r=vuln/index&data=xxx即可触发入口，后续用 POC 构造 payload 注入
验证与调试建议
复现时常见卡点及应对：
-
依赖未安装：运行
composer install确保fzaninotto/faker（v1.9.x）等扩展已加载（2.0.37 发布包自带 vendor，一般无需重装） -
POC 执行无回显：优先使用
system('whoami')或写文件（如file_put_contents('poc_test.txt','ok')）代替弹 shell，便于本地确认是否 RCE 成功 -
路径命名错误：控制器类名必须为
XxxController，方法名为actionXxx，URL 中r=xxx/xxx的大小写需严格匹配（如vuln/index对应VulnController::actionIndex）
