php反序列化进阶（session反序列化）！全网最详细！小白看这篇就够了！

Dest1ny-安全

已于 2024-09-20 21:59:02 修改

阅读量1.2k

点赞数 46

分类专栏： php反序列化文章标签： php 网络安全学习开发语言 web安全

于 2024-09-13 17:26:39 首次发布

本文链接：https://blog.csdn.net/m0_70065235/article/details/142213496

版权

php反序列化专栏收录该内容

3 篇文章 0 订阅

订阅专栏

大家好，我是Dest1ny，php反序列化的基础篇收到了大家很多的好评，在这里非常感谢大家！

我这里准备接着基础篇去讲一些进阶一点点点，今天讲的是session反序列化。

如果对Dest1ny写的文章比较喜欢的话，各位大佬不要吝啬自己的收藏和点赞。

您的支持是我最大的动力，废话不多直接开整！

CALSS-1 关于session反序列化

我们按照惯例先看一下比较正经的解释：

概念

Session的序列化：
当用户通过PHP的$_SESSION变量存储数据时，PHP会自动将这些数据序列化（即转换成字符串）并存储在服务器端的Session文件或其他Session存储介质中。序列化的格式通常是可以通过serialize()函数手动生成的格式。
Session的反序列化：
当用户再次访问Session数据时，PHP会自动从服务器端读取Session文件，并通过unserialize()函数将数据转换回原始格式。这样，开发者可以像操作普通变量一样处理$_SESSION中的数据。

安全性问题

Session反序列化存在潜在的安全隐患，尤其是在数据没有经过适当验证的情况下，可能会导致反序列化漏洞。攻击者可能通过伪造的序列化数据或操纵Session内容，使反序列化的对象触发任意代码执行（RCE），导致严重的安全问题。

这里大家就先看一下，我是不想看哈哈哈，直接上例题！

CLASS-2 关于session的例题

这是例题，大家请签收

index.php:

<?php
highlight_file(__FILE__);
/*hint.php*/
session_start();
class Flag{
    public $name;
    public $her;
    function __wakeup(){
        $this->her=md5(rand(1, 10000));
        if ($this->name===$this->her){
            include('flag.php');
            echo $flag;
        }
    }
}
?>

ok，我们现在也先读代码，至少得知道代码是干什么的：

1. 首先这里有一个flag的类，类里面有两个属性，是name和her。

2. 这里有一个wakeup()的魔法函数，这个魔法函数要字符串被反序列化时会被触发。

3. wakeup里把her的值随机赋成一个1-10000之间的数字。

4. 如果name的值和her的值相等，则会输出flag。

大致就是这个样子，其实很简单，我们只要通过上次讲的引用的知识点，让name和her指向同一个人的地址就可以强行相等！

可是代码中大家好像没看见可以去传参的地方，那怎么办？我们看见还有一个hint.php，这里肯定有提示！

CLASS-3 hint.php来了

我们访问一下hint.php

<?php
highlight_file(__FILE__);
error_reporting(0);
ini_set('session.serialize_handler', 'php_serialize');
session_start();
$_SESSION['a'] = $_GET['a'];
?>

诶，这里可以用get传参数诶！

但是我怎么通过这个get传参，去改变index.php类里面的属性值呢？

我们先读一下代码！

显示源代码：它使用 highlight_file() 显示当前PHP文件的源码，便于查看文件内容。
关闭错误报告：通过 error_reporting(0) 关闭了所有错误报告，这样即使代码出错，用户也看不到错误提示。
设置Session序列化方式：使用 ini_set('session.serialize_handler', 'php_serialize') 将Session的序列化方式设置为 php_serialize，意味着PHP会使用默认的序列化方法来存储和检索Session数据。
启动Session：通过 session_start() 开启了一个新的Session或恢复现有的Session。
存储GET参数：将用户通过 GET 方法传入的参数 a 存储到Session中，即 $_SESSION['a'] = $_GET['a']。用户可以通过访问类似 ?a=value 的URL将值传递给Session。