【愚公系列】2024年03月 《CTF实战：从入门到提升》 011-Web安全入门（PHP反序列化漏洞）

🏆 作者简介，愚公搬代码
🏆《头衔》：华为云特约编辑，华为云云享专家，华为开发者专家，华为产品云测专家，CSDN博客专家，CSDN商业化专家，阿里云专家博主，阿里云签约作者，腾讯云优秀博主，腾讯云内容共创官，掘金优秀博主，亚马逊技领云博主，51CTO博客专家等。
🏆《近期荣誉》：2022年度博客之星TOP2，2023年度博客之星TOP2，2022年华为云十佳博主，2023年华为云十佳博主等。
🏆《博客内容》：.NET、Java、Python、Go、Node、前端、IOS、Android、鸿蒙、Linux、物联网、网络安全、大数据、人工智能、U3D游戏、小程序等相关领域知识。
🏆🎉欢迎 👍点赞✍评论⭐收藏

---

🚀前言

PHP是一种广泛使用的开源服务器端脚本语言，它支持面向对象的编程范式。在PHP中，类和对象是用于封装数据与功能的核心组件，它们使得代码更加模块化、易于管理和扩展。在处理对象持久化——即在不同会话或不同请求之间保存对象状态的过程中，序列化和反序列化是两个非常重要的概念。

反序列化漏洞通常发生在不安全地反序列化用户提供的数据时。如果反序列化的数据被恶意篡改，攻击者可能会利用这个过程执行不安全的代码，这可能导致各种安全问题，包括但不限于：

• 代码执行：攻击者可能会注入恶意对象，当这个对象被反序列化时，它可能会触发任意代码执行。
• 对象注入：通过构造特殊的序列化数据，攻击者可能会在应用程序上下文中创建不正当的对象实例。
• 数据泄露：攻击者可能通过篡改序列化字符串来访问或泄露敏感数据。
• 服务拒绝（DoS攻击）：通过发送大量复杂的序列化数据，攻击者可能试图耗尽服务器资源，导致服务不可用。

🚀一、PHP反序列化漏洞

🔎1.PHP的类与对象

在探讨PHP中的序列化与反序列化概念之前，有必要先理解面向对象编程中的一些基础概念和术语。

类（Class）：
类是面向对象编程语言中的一个基本结构，它是创建对象的模板或蓝图。类定义了一组对象共有的属性（即变量）和方法（即函数）。通过类，可以描述一组具有相同特性（属性）和行为（方法）的对象。

对象（Object）：
对象是类的一个实例。每个对象都拥有唯一的标识，并且包含了由其类定义的属性和方法。对象的属性用于存储特定于该对象的数据，而方法定义了对象可以执行的操作。在面向对象的软件中，对象是构成程序的基本单位。

方法（Methods）：
方法是定义在类或对象中的子程序，用于执行特定的操作。方法可以处理输入参数，并可能返回一个值。在面向对象编程中，方法可以是类方法（也称为静态方法，属于类本身）、实例方法（属于对象实例），或工厂方法（用于创建并返回对象实例）。

属性（Properties）：
属性是定义在类中的变量，用于描述对象的状态或特征。比如，如果你被视为一个对象，你的属性可能包括姓名、性别和年龄等。

总结以上内容，对象是通过类的实例化而创建的，包含了方法和属性。属性分为公开（public）、受保护（protected）和私有（private）三种访问级别：

• 公开属性可以在类的内部和外部访问。
• 受保护属性只能被所属类及其子类访问。
• 私有属性仅能被其定义所在的类访问。

了解这些基本概念是学习PHP中序列化与反序列化过程的重要基础。

🔎2.PHP的序列化与反序列化

在介绍了面向对象编程中类和对象的基础概念之后，我们面临的一个重要问题是：如何存储这些通过类实例化出来的对象，并且如何实现与其他程序之间的数据交换？在数据库中存储简单的字符串很直接，通常只需使用文本（text）类型即可。然而，直接手工存储一个对象要复杂得多，因为你需要提取出对象的所有属性值并依次保存。如果属性值中还包含有对象，这个过程就需要递归进行，进一步提取并保存。相反的还原过程同样复杂，需要从存储形式中逐层提取并重建对象。

幸运的是，PHP提供了两个功能强大的函数来简化这一过程，这两个函数分别是 serialize() 和 unserialize()。

serialize() 函数

serialize() 函数的主要作用是将一个对象转换成一段可存储的文本表示，这个转换过程称为序列化。序列化后的字符串包含了对象的所有必要信息，允许我们在未来的某个时刻重新把这个字符串转换回原来的