渗透学习之PHP--序列化

最新推荐文章于 2024-05-29 09:55:32 发布

New Ting

最新推荐文章于 2024-05-29 09:55:32 发布

阅读量2.6k

点赞数 1

分类专栏：笔记文章标签：学习 php

本文链接：https://blog.csdn.net/qq_62886656/article/details/127153207

版权

笔记专栏收录该内容

18 篇文章 0 订阅

订阅专栏

1.1什么是序列化

序列化. 序列化 (Serialization)是将对象的状态信息转换为可以存储或传输的形式的过程

1.2PHP如何序列化数据？

大多数情况下，我们需要将复杂的数组存储在数据库中或PHP中的文件中。有些人可能会使用PHP内置函数来完成这项任务。所谓复杂数组是具有多个数据类型或数组的元素的数组。

1.3序列化实现

PHP序列化处理共有几种，分别为php、php_serialize、php_binary和WDDX(需要编译时开启支持)，默认为php，可通过配置中的 session.serialize_handler 修改。

如果 PHP 编译时加入了 WDDX 支持，则只能用 WDDX，WDDX从PHP 7.4版本后开始弃用。从 PHP 5.5.4 起可以使用 php_serialize。 php_serialize 在内部简单地直接使用 serialize/unserialize 函数，并且不会有 php 和 php_binary 所具有的限制。

其中PHP处理器的格式为：键名 + 竖线 + 经过serialize()函数序列化处理的值。

其中php_binary处理器的格式为：键名的长度对应的 ASCII 字符 + 键名 + 经过serialize()函数序列化处理的值。

其中php_serialize处理器的格式为：经过serialize()函数序列化处理的数组。

1.4 序列化格式

boolean
 
    b:<value>;
    b:1; // true
    b:0; // false
 
integer
 
    i:<value>;
 
double
 
    d:<value>;
 
NULL
 
    N;
 
string
 
    s:<length>:"<value>";
    s:1:"s";
 
array
 
    a:<length>:{key, value};
    a:1:{s:4:"key1";s:6:"value1";} // array("key1" => "value1");
 
object
 
    O:<class_name_length>:"<class_name>":<number_of_properties>:{<properties>};
 
reference
 
    指针类型
    R:reference;
    O:1:"A":2:{s:1:"a";i:1;s:1:"b";R:2;}
    $a = new A();$a->a=1;$a->b=&$a->a;

1.5 private与protect

private与protect变量和public变量不同，不能直接设置。

private属性只能在其被定义的类内部访问，且不会被继承，在属性前加上类名，即 %00className%00 用于标定其是私有的。

protected属性可以在父类和子类中访问，变量前添加 %00*%00 用于标定其是受保护的。

1.6 反序列化漏洞

php在反序列化的时候会调用 __wakeup / __sleep 等函数，可能会造成代码执行等问题。若没有相关函数，在析构时也会调用相关的析构函数，同样会造成代码执行。

另外 __toString / __call 两个函数也有利用的可能。

其中 __wakeup 在反序列化时被触发，__destruct 在GC时被触发， __toString 在echo时被触发, __call 在一个未被定义的函数调用时被触发。

tips：PHP __destruct触发时间（GC）

1 对象被null
2 对象被unset
3 对象用完自动触发

1.7 利用点

SoapClient 原生利用

php中的SoapClient类可以创建soap数据报文，在非wsdl模式下，SoapClient的实例反序列化的时候会对第二个参数指明的url进行soap请求，该特性可用于SSRF。

tips：(1条消息) SoapClient原生类在开发以及安全中利用_合天网安实验室的博客-CSDN博客_soapclient

其中wdsl接口 WSDL描述Web服务的公共接口。这是一个基于XML的关于如何与Web服务通讯和使用的服务描述

ZipArchive 原生利用

php原生类 ZipArchive::open() 中的flag参数如果设置为 ZipArchive::OVERWRITE 时，会删除指定文件，该特性在一定条件下可以用于删除文件。

PHP Session中的利用

PHP中的Session的实现是没有的问题，危害主要是由于程序员的Session使用不当而引起的。
如果在PHP在反序列化存储的$_SESSION数据时使用的引擎和序列化使用的引擎不一样，会导致数据无法正确第反序列化。通过精心构造的数据包，就可以绕过程序的验证或者是执行一些系统的方法

$_SESSION['ryat'] = '|O:11:"PeopleClass":0:{}';

上述的$_SESSION的数据使用php_serialize，那么最后的存储的内容就是a:1:{s:6:"spoock";s:24:"|O:11:"PeopleClass":0:{}";}。

但是我们在进行读取的时候，选择的是php，那么最后读取的内容是:

array (size=1)
  'a:1:{s:6:"spoock";s:24:"' => 
    object(__PHP_Incomplete_Class)[1]
      public '__PHP_Incomplete_Class_Name' => string 'PeopleClass' (length=11)

这是因为当使用php引擎的时候，php引擎会以|作为作为key和value的分隔符，那么就会将a:1:{s:6:"spoock";s:24:"作为SESSION的key，将O:11:"PeopleClass":0:{}作为value，然后进行反序列化，最后就会得到PeopleClas这个类。
这种由于序列话化和反序列化所使用的不一样的引擎就是造成PHP Session序列话漏洞的原因。

具体利用请看 PHP中SESSION反序列化机制 | Spoock