Pikachu系列——php反序列化

Pikachu靶场系列持续更新~

 
要像追剧追番一样追下去哦
 

实验八 —— php反序列化

php反序列化概述

php允许保存一个对象方便以后使用，这个过程被称为序列化。为什么要有序列化这种机制呢？在传递变量的过程中，有可能遇到变量值要跨脚本文件传递的过程。

如果另一个脚本想要调用之前一个脚本的变量，但是前一个脚本已经执行完毕，所有的变量和内容已经释放掉了，我们要如何操作呢？难道要一个脚本不断地循环，等待后面脚本调用？这肯定是不现实的

serialize和unserialize就是用来解决这一问题的。
serialize 可以将变量转换为字符串并且在转换中可以保存当前变量的值
unserialize 则可以将serialize生成的字符串转换为变量

在理解这个漏洞前，你需要先搞清楚php中serialize()，unserialize()这两个函数
序列化serialize()
序列化说通俗点就是把一个对象变成可以传输的字符串，比如下面是一个对象:

class S{
    public $test="pikachu";
}
$s=new S(); //创建一个对象
serialize($s); //把这个对象进行序列化

序列化后得到的结果是这个样子的:O:1:"S":1:{s:4:"test";s:7:"pikachu";}
    O:代表object
    1:代表对象名字长度为一个字符
    S:对象的名称
    1:代表对象里面有一个变量
    s:数据类型
    4:变量名称的长度
    test:变量名称
    s:数据类型
    7:变量值的长度
    pikachu:变量值

反序列化unserialize()
就是把被序列化的字符串还原为对象，然后在接下来的代码中继续使用

$s=unserialize("O:1:"S":1:{s:4:"test";s:7:"pikachu";}");
echo $s->test;  //得到的结果为pikachu

序列化和反序列化本身没有问题，但是如果反序列化的内容是用户可以控制的，且后台不正当的使用了PHP中的魔法函数，这些函数在某些情况下会自动调用，就会导致安全问题

常见的几个魔法函数：

    __construct()      当一个对象创建时被调用
    __destruct()       当一个对象销毁时被调用
    __toString()       当一个对象被当作一个字符串使用
    __sleep()          在对象在被序列化之前运行
    __wakeup           将在序列化之后立即被调用
    __call()           在对象上下文中调用不可访问的方法时触发
    __callStatic()     在静态上下文中调用不可访问的方法时触发
	__get()            用于从不可访问的属性读取数据时
    __set()            用于将数据写入不可访问的属性
    __isset()          在不可访问的属性上调用isset()或empty()触发
    __unset()          在不可访问的属性上使用unset()时触发
    __invoke()         当脚本尝试将对象调用为函数时触发
    __autoload()       尝试加载未定义的类时触发
    __clone()          当对象复制完成时触发

防御：
反序列化的问题也是用户参数的控制问题引起的，所以好的预防措施就是不要把用户的输入或者是用户可控的参数直接放进反序列化的操作中去
 

实验环境

我用的是phpstudy集成环境，一键搭环境 （如果端口没被占用还是比较顺利的）

靶场：Pikachu靶场下载
浏览器一个

接下来:
–>把下载下来的pikachu文件夹放到web服务器根目录下
–>根据实际情况修改inc/config.inc.php里面的数据库连接配置（登录名和密码要与数据库相同）
–>访问http://x.x.x.x/pikachu,会有一个红色的热情提示"欢迎使用,pikachu还没有初始化，点击进行初始化安装!"，点击即可完成安装。
 

php反序列化

payload:O:1:"S":1:{s:4:"test";s:29:"<script>alert('xss')</script>";}

查看源码

class S{
    var $test = "pikachu";
    function __construct(){
        echo $this->test;
    }
}
$html='';
if(isset($_POST['o'])){
    $s = $_POST['o'];
    if(!@$unser = unserialize($s)){
        $html.="<p>大兄弟,来点劲爆点儿的!</p>";
    }else{
        $html.="<p>{$unser->test}</p>";
    }
}

变量$s从url中test参数获取到内容，并且在反序列化的时候通过__destruct()直接将传入的数据不经过任何处理，echo出来，这里就构造了反射型xss漏洞。当脚本结束运行时，所有的对象都会销毁，就会自动调用__destruct方法

GOT IT！

 
******************************************************
这一反序列化模块先搞定了，关注收藏追更哦~