前言 在理解这个漏洞前,你需要先搞清楚php中serialize()，unserialize()这两个函数。
- 序列化serialize()
class S{
public $test="pikachu";
}
$s=new S();
//创建一个对象
serialize($s);
//把这个对象进行序列化
序列化后得到的结果是这个样子的:O:1:"S":1:{s:4:"test";
s:7:"pikachu";
}
O:代表object
1:代表对象名字长度为一个字符
S:对象的名称
1:代表对象里面有一个变量
s:数据类型
4:变量名称的长度
test:变量名称
s:数据类型
7:变量值的长度
pikachu:变量值- 反序列化unserialize()
$u=unserialize("O:1:"S":1:{s:4:"test";
s:7:"pikachu";
}");
echo $u->test;
//得到的结果为pikachu序列化和反序列化本身没有问题,但是如果反序列化的内容是用户可以控制的,且后台不正当的使用了PHP中的魔法函数,就会导致安全问题
常见的几个魔法函数:
__construct()当一个对象创建时被调用__destruct()当一个对象销毁时被调用__toString()当一个对象被当作一个字符串使用 (在echo时被触发)__sleep() 在对象在被序列化之前运行__wakeup将在反序列化时被触发__call 在一个未被定义的函数调用时被触发漏洞举例
Demo1:
class S{
var $test = "pikachu";
function __destruct(){
echo $this->test;
}
}$s = $_GET['test'];
@$unser = unserialize($a);
payload:O:1:"S":1:{s:4:"test";
s:29:"";
}Demo2:
class Demo
{public $data;
public function __construct($data)
{
$this->data = https://www.it610.com/article/$data;
echo"construct
";
}public function __wakeup()
{
echo "wake up
";
}public function __destruct()
{
echo "Data's value is $this->data.
";
echo "destruct
";
}
}var_dump(serialize(new Demo("raw value")));
输出:
construct
Data's value is raw value.
destruct
string(44) "O:4:"Demo":1:{s:4:"data";
s:9:"raw value";
}"把序列化的字符串修改一下后，执行:
unserialize('O:4:"Demo":1:{s:4:"data";
s:15:"malicious value";
}');
输出
wake up
Data's value is malicious value.
destruct这里看到，值被修改了。
上面是一个 unserialize() 的简单应用，不难看出，如果 __wakeup() 或者 __desturct() 有敏感操作，比如读写文件、操作数据库，就可以通过函数实现文件读写或者数据读取的行为。
那么，在 __wakeup() 中加入判断是否可以阻止这个漏洞呢？ 在 __wakeup() 中我们加入一行代码:
public function __wakeup()
{
if($this->data != 'raw value') $this->data = 'https://www.it610.com/article/raw value';
echo "wake up
";
}但其实还是可以绕过的，在 PHP5 < 5.6.25， PHP7 < 7.0.10 的版本都存在wakeup的漏洞。当反序列化中object的个数和之前的个数不等时，wakeup就会被绕过，于是使用下面的payload:
unserialize('O:7:"HITCON":1:{s:4:"data";
s:15:"malicious value";
}');
输出:
Data's value is malicious value.
destruct这里wakeup被绕过，值依旧被修改了。
一、PHP反序列漏洞 反序列漏洞一般通过代码审计发现。
分析 于是我们审查一下unser.php:
文章图片
发现类S的__construct方法被重写了:直接输出test的值
然后将POST的参数o赋值给s,再将s反序列化后的值赋值给unser变量,并用@符合不输出警告 (强制转化变量的警告)
若能进行赋值操作,即s能被反序列化,就将反序列后的值作为p标签写入到网页中。
我们写一个serialize.php:
';
$a = new S();
echo serialize($a);
?>然后已查看源码的形式访问url:
view-source:http://localhost/pikachu-master/vul/unserilization/serialize.php
文章图片
得到序列化后的值:
O:1:"S":1:{s:4:"test";
s:29:"";
}注入到有反序列化漏洞的网站:
文章图片
【PiKachu靶场之PHP反序列化漏洞】这样利用反序列漏洞引申出xss漏洞了。
