5.1.2. 反序列化

    其中PHP处理器的格式为：键名 + 竖线 + 经过serialize()函数序列化处理的值。

    其中php_binary处理器的格式为：键名的长度对应的 ASCII 字符 + 键名 + 经过serialize()函数序列化处理的值。

    其中php_serialize处理器的格式为：经过serialize()函数序列化处理的数组。

    其中php_serialize的实现在 php-src/ext/standard/var.c 中，主要函数为 php_var_serialize_intern ，序列化后的格式如下：

      • boolean
        • b:<value>;
        • b:1; // true
        • b:0; // false
      • integer
        • i:<value>;
      • double
        • d:<value>;
      • string
        • s:<length>:"<value>";
        • s:1:"s";
      • array
        • a:<length>:{key, value};
        • // array("key1" => "value1");
      • object
      • reference
        • 指针类型
        • R:reference;
        • O:1:"A":2:{s:1:"a";i:1;s:1:"b";R:2;}
        • $a = new A();$a->a=1;$a->b=&$a->a;

    5.1.2.2. PHP反序列化漏洞

    php在反序列化的时候会调用 wakeup / sleep 等函数，可能会造成代码执行等问题。若没有相关函数，在析构时也会调用相关的析构函数，同样会造成代码执行。

    其中 在反序列化时被触发，destruct 在GC时被触发， toString 在echo时被触发, call 在一个未被定义的函数调用时被触发。

    下面提供一个简单的demo.

    输出

    1. construct
    2. Data's value is raw value.
    3. destruct
    4. string(44) "O:4:"Demo":1:{s:4:"data";s:9:"raw value";}"

    把序列化的字符串修改一下后，执行

    unserialize('O:4:"Demo":1:{s:4:"data";s:15:"malicious value";}');

    这里看到，值被修改了.

    上面是一个 unserialize() 的简单应用，不难看出，如果 wakeup() 或者 desturct() 有敏感操作，比如读写文件、操作数据库，就可以通过函数实现文件读写或者数据读取的行为。

    那么，在 wakeup() 中加入判断是否可以阻止这个漏洞呢？在 wakeup() 中我们加入一行代码

    1. public function __wakeup()
    2. {
    3.     if($this->data != 'raw value') $this->data = 'raw value';
    4.     echo "wake up<br />";
    5. }

    但其实还是可以绕过的，在 PHP5 < 5.6.25， PHP7 < 7.0.10 的版本都存在wakeup的漏洞。当反序列化中object的个数和之前的个数不等时，wakeup就会被绕过，于是使用下面的payload

    输出

    1. destruct