PHP反序列化二

1.反序列化基础利用

2.pop链

POP链: POP(面向属性编程）链是指从现有运行环境中寻找一系列的代码或指令调用，然后根据需求构造出一组连续的调用链。

反序列化利用就是要找到合适的POP链。其实就是构造一条符合原代码需求的链条，去找到可以控制的属性或方法，从而构造POP链达到攻击的目的。

寻找POP链的思路:

A.寻找unserialize0函数的参数是否可控;

B.寻找反序列化想要执行的目标函数，重点寻找魔术方法(比如 wakeup()和 destruct())

C.一层一层地研究目标在魔术方法中使用的属性和调用的方法，看看其中是否有我们可控的属性和方法

D.根据我们要控制的属性，构造序列化数据，发起攻击

解题思路:

A.构造利用链，就要找到头和尾。再想办法把头和尾连接起来。

B. $sid和$ config是用户输入可以控制的，这是利用链的头部。

C.最终目的是读取flag.php文件，就要从源代码中需要可以读文件或者执行系统命令的地方。Read->get_file和Show->show可以读取文件，但是Show->show函数不允许出现flag。因此，Read->get_file就是POP链的尾部,

D.如何触发Read->get_file呢?搜索get_file发现，Show-> tostring中存在代码: $content=$ this->class1->get_file( $this-\>var);那么只需要让$ this->class1=new Read;$this->var='flag.php'即可触发get_file，得到flag.php

E.那么如何触发Show->tostring呢?本题存在手动触发函数的命令 $config-\>$ sid;，参数是用户控制的(POP链的头部)，因此可以令： $config=new Show;$ sid='__toString';这样就完成了pop链的构造

解法一：

解法二：

由于_tostring是魔术方法，还可以自动触发，触发条件为"把对象当成字符串使用"，那么就需要寻找使用字符串的地方，传入对象，就可以触发_tostring了。本题中preg_match函数的参数就是字符串，因此需要

$this->source=show;//this就是当前的类，因此本题要生成两个show对象，其中一个Show对象的source属性值为另一个show对象

再利用 $config-\>$ sid触发Show->Change或者Show->show方法即可。

3.畸形序列化字符串

（1）认识畸形序列化字符串

畸形序列化字符串就是故意修改序列化数据，使其与标准序列化数据存在个别字符的差异，达到绕过一些安全函数的目的。

应用领域:

a.绕过 wakeup( )

b.快速析构(fast destruct):绕过过滤函数，提前执行_destruct

（2）绕过_wakeup

由于使用unserialize( )函数后会立即触发_wakeup，为了绕过_wakeup中的安全机制，可以用修改属性数量的方式绕过wakeup方法。受影响版本:

php5.0.0~ php5.6.25

php7.0.0 ~ php7.0.10

绕过方法:

反序列化时，修改对象的属性数量，将原数量+n，那么_wakeup方法将不再调用。比如:

//标准序列化数据

0:3:"BUU":2:{s:7:"correct";N;s:5:"input";R:2;}

//修改为:

0:3:"BUU":3:{s:7:"correct";N;s:5:"input";R:2;}

（3）快速析构

快速析构的原理:当php接收到畸形序列化字符串时，PHP由于其容错机制，依然可以反序列化成功。但是，由于你给的是一个畸形的序列化字符串，总之他是不标准的，所以PHP对这个畸形序列化字符串得到的对象不放心，于是PHP就要赶紧把它清理掉，那么就触发了他的析构方法(_destruct( ))。

应用场景:某些题目需要利用_destruct才能获取flag，但是_destruct是在对象被销毁时才触发(执行顺序太靠后)，_destruct之前会执行过滤函数，为了绕过这些过滤函数，就需要提前触发_destruct方法

畸形字符串的构造方法:

A.改掉属性的个数

B.删掉结尾的 }

（4）例题

解题思路：

A.明确POP的起点:unserialize($ GET['poc'])

B.明确POP的终点:Demo2-> tostring()

C.怎样连接起点和终点?

DemoX->_destruct( )//不能执行DemoX->wakeup( )

DemoX->_tostring( )

Demo2->_tostring( )

D.怎样执行绕过DemoX->_wakeup( )?先生成正常的序列化数据，再改变属性个数。

E.通过对比，定位到属性个数为2的数据，然后修改为3，得到payload：

O%3A5%3A%22DemoX%22%3A3%3A%7Bs%3A7%3A%22%00%2A%00user%22%3BO%3A5%3A%22Demo2%22%3A1%3A%7Bs%3A13%3A%22%00Demo2%00fffl4g%22%3Bs%3A8%3A%22flag.php%22%3B%7Ds%3A6%3A%22%00%2A%00sex%22%3Bs%3A3%3A%22xxx%22%3B%7D