搜索

[21939] 2021-05-06_PHP反序列化详解(面试必考)

文档创建者：s7ckTeam
浏览次数：1
最后更新：2025-01-18
2021-05-06_PHP反序列化详解(面试必考) P H P 反 序 列 化 详 解 ( 面 试 必 考 ) L e m o n S e c   2 0 2 1 - 0 5 - 0 6               首 先 看 一 张 图                 P H P 反 序 列 化   原 理 ： 未 对 用 户 输 入 的 序 列 化 字 符 串 进 行 检 测 ， 导 致 攻 击 者 可 以 控 制 反 序 列 化 过 程 ， 从 而 导 致 代 码 执 行 ， S Q L 注 入 ， 目 录 遍 历 等 不 可 控 后 果 。 在 反 序 列 化 的 过 程 中 自 动 触 发 了 某 些 魔 术 方 法 。 当 进 行 反 序 列 化 的 时 候 就 有 可 能 会 触 发 对 象 中 的 一 些 魔 术 方 法 。 s e r i a l i z e ( )   / / 将 一 个 对 象 转 换 成 一 个 字 符 串 u n s e r i a l i z e ( )   / / 将 字 符 串 还 原 成 一 个 对 象 反 序 列 化 分 为 有 类 和 无 类               我 们 先 来 看 序 列 化 数 据 也 就 是 序 列 化 字 符 串               先 上 图
              我 们 看 看 上 面 那 张 图               s 代 表 字 符 串 ， 8 代 表 长 度 “ c h i x i g u a ” 代 表 值               在 无 类 中 他 调 用 了 u n s e r i a l i z e ( ) 将 字 符 串 还 原 为 对 象 没 有 进 行 过 滤 我 们 可 以 观 察 其 代 码 而 构 造 p a y l o a d 进 行 s q l 注 入 ， 代 码 执 行 ， g e t s h e l l ， 目 录 遍 历 等 等 ， 主 要 看 他 的 代 码 ， 他 的 代 码 有 s q l 语 句 接 收 序 列 化 字 符 串 这 样 会 产 生 反 序 列 化 s q l 注 入 其 他 漏 洞 也 是 如 此 ， 主 要 看 代 码 来 辨 别 危 害 。               反 序 列 化 也 是 我 们 面 试 的 必 考 题 ， 所 以 还 是 很 重 要 的               在 思 维 导 图 我 们 提 到 有 类 在 有 类 的 情 况 我 们 会 设 计 到 各 种 魔 术 方 法               我 们 首 先 来 介 绍 一 下 各 种 魔 术 方 法               _ _ c o n s t r u c t ( )               具 有 构 造 函 数 的 类 会 在 每 次 创 建 新 对 象 时 先 调 用 此 方 法 ， 所 以 非 常 适 合 在 使 用 对 象 之 前 做 一 些 初 始 化 工 作 。               _ _ d e s t r u c t ( )               析 构 函 数 会 在 到 某 个 对 象 的 所 有 引 用 都 被 删 除 或 者 当 对 象 被 显 式 销 毁 时 执 行 。               也 就 是 说 进 行 反 序 列 化 时 ， 完 成 的 就 是 从 字 符 串 创 建 新 对 象 的 过 程 ， 刚 开 始 就 会 调 用 _ _ c o n s t r u c t ( ) , 而 对 象 被 销 毁 时 ， 例 如 程 序 退 出 时 ， 就 会 调 用 _ _ d e s t r u c t ( )               触 发 ： u n s e r i a l i z e 函 数 的 变 量 可 控 ， 文 件 中 存 在 可 利 用 的 类 ， 类 中 有 魔 术 方 法 ：               参 考 ： 官 方 文 档 魔 法 方 法 部 分               _ _ c o n s t r u c t ( ) / / 创 建 对 象 时 触 发               _ _ d e s t r u c t ( )   / / 对 象 被 销 毁 时 触 发               _ _ c a l l ( )   / / 在 对 象 上 下 文 中 调 用 不 可 访 问 的 方 法 时 触 发               _ _ c a l l S t a t i c ( )   / / 在 静 态 上 下 文 中 调 用 不 可 访 问 的 方 法 时 触 发               _ _ g e t ( )   / / 用 于 从 不 可 访 问 的 属 性 读 取 数 据               _ _ s e t ( )   / / 用 于 将 数 据 写 入 不 可 访 问 的 属 性               _ _ i s s e t ( )   / / 在 不 可 访 问 的 属 性 上 调 用 i s s e t ( ) 或 e m p t y ( ) 触 发 s : 8 : " c h i x i g u a " s
              _ _ u n s e t ( )   / / 在 不 可 访 问 的 属 性 上 使 用 u n s e t ( ) 时 触 发               _ _ i n v o k e ( )   / / 当 脚 本 尝 试 将 对 象 调 用 为 函 数 时 触 发               接 下 来 我 们 先 看 一 段 魔 术 方 法 p h p 代 码               首 先 先 分 析 一 下 代 码 创 建 了 一 个 类               里 面 写 了 3 个 魔 术 方 法               我 们 看 结 果 首 先 输 出 了 ‘ 调 用 了 构 造 函 数 ’ ， 为 什 么 在 魔 术 方 法 里 的 这 串 代 码 执 行 了 呢 ？ 这 是 因 为 触 发 了 他 的 魔 术 方 法 ， 因 为 我 们 将 一 个 类 进 行 了 实 体 化 ， 也 就 是 新 建 了 一 个 对 象 ， 触 发 了 _ _ c o n s t r u c t ( ) 方 法 里 的 代 码 ， 接 下 来 又 输 出 了 ‘ 调 用 了 苏 醒 函 数 ’ 在 反 序 列 话 函 数 执 行 的 时 候 会 先 检 测 _ _ w a k e u p ( ) 方 法 有 该 方 法 这 会 先 执 行 这 个 方 法 里 的 代 码               详 细 参 考 这 张 图               可 以 玩 玩 去 年 网 鼎 的 青 龙 杯 里 的 反 序 列 化 题 我 把 解 题 思 路 写 下 来               网 鼎 杯 青 龙 组 p h p 反 序 列 化 题 * * 首 先 c t f 命 名 及 代 码 函 数 u n s e r i a l i z e 判 断 反 序 列 化 知 识 点 第 一 ： 获 取 f l a g 存 储 f l a g . p h p 第 二 ： 两 个 魔 术 方 法 _ _ d e s t r u c t   _ _ c o n s t r u c t 第 三 ： 传 输 s t r 参 数 数 据 后 触 发 d e s t r u c t ， 存 在 i s _ v a l i d 过 滤
第 四 ： _ _ d e s t r u c t 中 会 调 用 p r o c e s s , 其 中 o p = 1 写 入 及 o p = 2 读 取 第 五 ： 涉 及 对 象 F i l e H a n d l e r ， 变 量 o p 及 f i l e n a m e , c o n t e n t ， 进 行 构 造 输 出 * * * * < ? p h p c l a s s   F i l e H a n d l e r { p u b l i c   $ o p = '   2 ' ; / / 源 码 告 诉 我 们 o p 为 1 时 候 是 执 行 写 入 为 2 时 执 行 读 p u b l i c   $ f i l e n a m e = " f l a g . p h p " ; / / 文 件 开 头 调 用 的 是 f l a g . p h p p u b l i c   $ c o n t e n t = " z m c " ; } $ f l a g   =   n e w   F i l e H a n d l e r ( ) ; $ f l a g _ 1   =   s e r i a l i z e ( $ f l a g ) ; e c h o   $ f l a g _ 1 ; ? > 涉 及 ： 反 序 列 化 魔 术 方 法 调 用 ， 弱 类 型 绕 过 ， a s c i i 绕 过 使 用 该 类 对 f l a g 进 行 读 取 ， 这 里 面 能 利 用 的 只 有 _ _ d e s t r u c t 函 数 （ 析 构 函 数 ） 。 _ _ d e s t r u c t 函 数 对 $ t h i s - > o p 进 行 了 = = = 判 断 并 内 容 在 2 字 符 串 时 会 赋 值 为 1 ， p r o c e s s 函 数 中 使 用 = = 对 $ t h i s - > o p 进 行 判 断 （ 为 2 的 情 况 下 才 能 读 取 内 容 ） ， 因 此 这 里 存 在 弱 类 型 比 较 ， 可 以 使 用 数 字 2 或 字 符 串 '   2 ' 绕 过 判 断 。 i s _ v a l i d 函 数 还 对 序 列 化 字 符 串 进 行 了 校 验 ， 因 为 成 员 被 p r o t e c t e d 修 饰 ， 因 此 序 列 化 字 符 串 中 本 文 作 者 ：   か く れ ん ぼ か く れ ん ぼ   本 文 链 接 本 文 链 接 ： h t t p s : / / w w w . c n b l o g s . c o m / z m c b k / p / 1 4 4 9 7 4 0 8 . h t m l 一 如 既 往 的 学 习 ， 一 如 既 往 的 整 理 ， 一 如 即 往 的 分 享 。 感 谢 支 持 “ 如 侵 权 请 私 聊 公 众 号 删 文 ” 扫 描 关 注 扫 描 关 注 L e m o n S e c
觉 得 不 错 点 个 觉 得 不 错 点 个 “ 赞 赞 ” 、 、 “ 在 看 在 看 ” 哦 哦
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理