反序列化漏洞

反序列化漏洞

一、定义

1、什么是序列化

将复杂的数据结构转换为可以作为有顺序的字节流发送或者转化为更扁平的格式以方便接收。

2、什么是反序列化

反序列化是将此字节流恢复为原始对象的完整功能副本的过程，其状态与序列化时的状态完全相同。

3、什么是反序列化漏洞

反序列化漏洞是指用户可控的数据被网站反序列化。

攻击者能够操纵序列化对象，以便将有害数据传递到应用程的代码中。甚至可以用完全不同的类对象替换序列化对象。许多基于反序列化的攻击是在反序列化完成之前完成的。

二、结构

1、序列化结构

class S
{
	public $test = "pikachu";
}
$s = new S()	//创建一个对象
serialize($s)	//把这个对象进行序列化

序列化后得到的结果是这个样子：O:1:"S":1:{s:4:"test";s:7:"pikachu";}

O：代表object
1：代表对象名字长度为一个字符
S:对象的名称
1：代表对象里面有一个变量
s：数据类型
4：变量名称的长度
test：变量名称
s:数据类型
7：变量值的长度
pikachu：变量值

2、反序列化结构

$u = unserialize("O:1:"S":1:{s:4:"test";s:7:"pikachu";}");
echo $u -> test;

反序列化后得到的结果：pikachu

3、Payload机构

O:1:"S":1:{s:4:"test";s:29:"<script>alert('xss')</script>";}