反序列化漏洞
序列化:将对象的状态信息转换为可以传输或存储的形式的过程。简单的来说,就是将一个抽象的对象转换成可以传输的字符串 ,以特定的形式在进行之间实现跨平台的传输。
序列化大多以字节流、字符串、json串的形式来传输。将对象的某一状态写入永久或者临时存储区,在有需要的时候,就可以在存储区里读取对队形进行还原,也就是反序列化。
1. 序列化与反序列化过程
例:
1.定义了一个Vul类:
<?phpclass Vul{public $str = "Dai";function __destruct(){@eval($this -> str);}
}
?>
test.php:
<?php
include "./vul.class.php";$s = new vul();
echo serialize($s);
echo "<hr />";$_s = $_GET['s_ser'];
$s = unserialize($_s);var_dump($s);?>
通过serialize( )
将$s
序列化,unserialize()
用来反序列化
2. 漏洞成因
程序没有对用户输入的反序列化字符串进行检测,导致反序列化过程有可能会被恶意利用,造成恶意代码的执行。
如在php中,__construct( )
函数会在创建对象的时候自动调用。__destruct( )
会在销毁对象时自动调用。在php中__
开头的函数会被自动调用。
3. 漏洞复现
-
java反序列化
[CVE 2017-10271]weblogic < 10.3.6 ‘wls-wsat’ XMLDecoder 反序列化漏洞
[CVE 2016-4437]Apache Shiro 1.2.4 反序列化漏洞
化漏洞](https://vulhub.org/#/environments/shiro/CVE-2016-4437/)