0x001 漏洞產生原理

在反序列化的過程中自動觸發了某些魔術方法。未對用戶輸入的序列化字符串進行檢測，導致攻擊者可以控制反序列化過程，從而導致XSS、代碼執行、文件寫入、文件讀取等不可控后果。

0x002 漏洞觸發條件

一般只能通過代碼審計的方式挖掘該漏洞，尋找代碼中unserialize()函數的變量可控，且PHP文件代碼中存在可利用的類，同時類中具有魔術方法。

0x003 PHP魔術方法__construct() 當一個對象創建時被調用

__destruct() 當一個對象銷毀時被調用

__toString() 當一個對象被當作一個字符串使用

__sleep() 在對象在被序列化之前運行

__wakeup 將在序列化之后立即被調用

0x004 序列化數據格式

序列化主要分為字符型、數組型、對象型。

以序列化對象格式為例

0x005 反序列化漏洞

1. XSS

漏洞示例demo2.php:

構造序列化值：

利用序列化值構造POC:

成功在頁面進行了彈窗：在序列化數據之后，立即自動調用了__wakeup()函數，執行 。

2. 代碼執行

漏洞示例test.php:

構造序列化值：

利用序列化值構造POC:

成功顯示了phpinfo頁面：在反序列化該數據時，自動觸發了_destruct()函數,執行 eval(phpinfo())。

3. 文件寫入

漏洞示例demo3.php:

構造序列化值：

利用序列化值構造POC:

成功將phpinfo寫入了shell.php：在反序列化該數據結束后，，立即自動調用了__wakeup()函數，而在__wekeup()創建了對象后,就會自動調用__construct()函數，從而執行了文件寫入的操作。

4. 文件讀取

以2020 ISCC CTF中的一道題為例

代碼審計

以GET形式傳入一個data參數，并且對data參數進行了反序列化；

使用了_toString() 當一個對象被當作一個字符串時自動調用

使用file_get_contents()包含$file文件內容；

最后使用base64_encode()加密輸出$file文件中的內容。

構造序列化值：

利用序列化值構造POC:

成功顯示了flag.php文件中的內容：在反序列化該數據時，自動觸發了_toString()函數,執行 base64_encode(file_get_contents($filename))。

5. 漏洞拓展

上面講的都是基于魔術方法下的敏感操作導致的反序列化導致的安全問題。但是當漏洞/危險代碼存在在類的普通成員方法中,該如何利用呢?

漏洞示例demo4.php:

我們發現類的普通方法調用eval()函數,這個函數很危險，如果可控就可能造成代碼執行。

通過代碼發現$_GET['test']可控,因為使用unserialize()會自動調用__destruct()，所以它會先調用action()函數,然后會走到x1類和x2類，而安全問題在x2類中。

構造如下序列化代碼serialize-demo4.php:

上述序列化代碼運行后得到的序列化值:

利用得到的序列化值構造POC:

0x006 反序列化webShell

1. 配合菜刀getShell

漏洞示例test.php:

利用eval()傳入可控參數，寫入一句話木馬 <?php @eval($_GET[cmd]);?>，構造序列化數據值：

利用序列化值構造POC：

執行該POC后，會在同級目錄下生成一個shell.php文件，通過菜刀連接訪問shell.php，即可getShell。

2. 反序列化木馬

利用反序列化的特點，編寫webShell木馬

使用菜刀連接該webShell木馬

此木馬與正常文件很像，所以對于免殺安全狗等防護軟件效果很不錯。

參考文章

總結

以上是生活随笔為你收集整理的php+反序列化代码执行漏洞,PHP反序列化漏洞的全部內容，希望文章能夠幫你解決所遇到的問題。

如果覺得生活随笔網站內容還不錯，歡迎將生活随笔推薦給好友。