1.PHP反序列化渗透

这是一篇关于1.PHP反序列化渗透的思维导图，主要内容有Magic函数、对象序列化、反序列化漏洞的出现等。

PHP反序列化漏洞

• Magic函数
  • __construct：当一个对象创建时被调用
    • new MYClass();
  • __destruct：当一个对象销毁时被调用
    • 代码结束
  • __toString：当一个对象被当作一个字符串使用
    • echo $obj;
  • __serialize()：调用serialize()前执行 PHP 7.4.0起
  • __unserialize()：调用unserialize()前执行 PHP 7.4.0起
  • __sleep：在对象被序列化之前运行
  • __wakeup：在对象被反序列化之后被调用
  • __call()：在对象上下文中调用不可访问的方法时触发
  • __callStatic()：在静态上下文中调用不可访问的方法时触发
  • __get()：用于从不可访问的属性读取数据
  • __set()：用于将数据写入不可访问的属性
  • __isset()：在不可访问的属性上调用isset()或empty()触发
  • __unset()：在不可访问的属性上使用unset()触发
  • __invoke()：当 脚本尝试将对象调用为函数时触发
• 对象序列化
  • 序列化
    • serialize 序列化方法
      • SerialType.php
    • 格式
      • Integer
        • i:value;
      • String
        • s:size:value;
      • Boolean
        • b:value;(保存1或0)
      • Null
        • N;
      • Array 数组
        • array数组个数2个，key大小'aa':1,'bbbb':9
      • Object 类
        • obj名称4'User'，接收的个数2'username':'hackerwuya','nickname':'wuya'
    • 注意
      • 1、序列化对象的时候，只会保存类名和属性值
      • 2、常量不会保存，父类中的变量，会保留
    • 其他格式
      • json字符串：json_encode
      • xml字符串：wddx_serialize_value
      • 二进制格式
      • 字节数组
    • |控制返回序列化变量名
      • var_dump：打印变量的相关信息
      • 重写__sleep
        • return array('username','nickname');
  • 反序列化
    • unserialize 方法
      • 更改了$var的值
      • 可用反序列化更改值
    • 限制
      • 1、如果传递的字符串不可解序列化，则返回FALSE，并产生一个E_NOTICE
      • 2、如果对象没有预定义(更改类，找不到类名时)，反序列化得到的对象是__PHP_Incomplete_Class
      • 3、返回的是转换之后的值，可为integer、float、string、array或object
      • 4、若被反序列化的变量是一个对象，在成功重新构造对象之后，PHP会自动地试图去调用__wakeup()成员函数（如果存在的话）
  • 魔术方法
    • __wakeup/__unserialize(7.4.0)：当用反序列化时，会执行这个方法
  • 用途
    • 传输对象
    • 缓存
      • session和cookie
• 反序列化漏洞的出现
  • logfile.php
    • 记录日志
      • file_put_contents()
    • __destruct()类销毁的时候，删除这个日志文件
  • request.php
    • unserialize通过GET传输反序列化字符串
    • 替换了字符串的filename值，比如index.php
    • 导致当前目录index.php被删除
    • 可以删除任意文件
  • readfile.php
    • 反序列化调用类并且执行构造方法和析构方法，但是操作没有在做操作
  • 反序列化漏洞
    • 1、unserialize函数的参数可控 比如：通过GET请求传参（漏洞触发点）
    • 2、脚本中定义了有Magic方法，方法里面有向php文件做读写数据或者执行命令的操作 比如：__destruct()、unlink()
    • 3、操作的内容需要有对象中的成员变量的值 比如：filename
  • 利用方式
    • 看序列化操作的是什么（可删除，可修改，可读写），修改成员变量的值，达到操作其他文件或者执行命令的目的
• CTF题目分析
  • 题目
    • class xctf{ public $flag = '111'; public function __wakeup(){ exit('bad requests'); } ?code=
  • 分析
    • 考点：反序列化
    • 如果触发__wakeup()，则退出
    • 目标：绕过__wakeup()方法
  • CVE-2016-7124
    • PHP5小于5.6.25或PHP小于7.0.10
    • 在反序列化的时候，如果写的参数个数，与实际的参数个数不一致的时候，就会路过__wakeup()的执行
    • 私有属性类名前后要加%00类名%00隔开
  • poc
    • <?php class xctf{ public $flag = '111'; } $a = new xctf(); echo serialize($a);
    • O:4:"xctf":1:{s:4:"flag";s:3:"111";}
    • 修改为：O:4:"xctf":1:{s:4:"flag";s:3:"111";}
• 修复和防御
  • 针对unserialize和Magic函数审计
  • 对用户输入的内容过滤
  • 白名单，限制反序列化的类；不能动态传参