渗透学习之PHP--序列化

1.1什么是序列化

序列化. 序列化 (Serialization)是将对象的状态信息转换为可以存储或传输的形式的过程

1.2PHP如何序列化数据?

大多数情况下,我们需要将复杂的数组存储在数据库中或PHP中的文件中。有些人可能会使用PHP内置函数来完成这项任务。所谓复杂数组是具有多个数据类型或数组的元素的数组。

1.3序列化实现


PHP序列化处理共有几种,分别为php、php_serialize、php_binary和WDDX(需要编译时开启支持),默认为php,可通过配置中的 session.serialize_handler 修改。

如果 PHP 编译时加入了 WDDX 支持,则只能用 WDDX,WDDX从PHP 7.4版本后开始弃用。从 PHP 5.5.4 起可以使用 php_serialize。 php_serialize 在内部简单地直接使用 serialize/unserialize 函数,并且不会有 php 和 php_binary 所具有的限制。

其中PHP处理器的格式为:键名 + 竖线 + 经过serialize()函数序列化处理的值。

其中php_binary处理器的格式为:键名的长度对应的 ASCII 字符 + 键名 + 经过serialize()函数序列化处理的值。

其中php_serialize处理器的格式为:经过serialize()函数序列化处理的数组。

1.4  序列化格式

boolean
 
    b:<value>;
    b:1; // true
    b:0; // false
 
integer
 
    i:<value>;
 
double
 
    d:<value>;
 
NULL
 
    N;
 
string
 
    s:<length>:"<value>";
    s:1:"s";
 
array
 
    a:<length>:{key, value};
    a:1:{s:4:"key1";s:6:"value1";} // array("key1" => "value1");
 
object
 
    O:<class_name_length>:"<class_name>":<number_of_properties>:{<properties>};
 
reference
 
    指针类型
    R:reference;
    O:1:"A":2:{s:1:"a";i:1;s:1:"b";R:2;}
    $a = new A();$a->a=1;$a->b=&$a->a;

1.5  private与protect

private与protect变量和public变量不同,不能直接设置。

private属性只能在其被定义的类内部访问,且不会被继承,在属性前加上类名,即 %00className%00 用于标定其是私有的。

protected属性可以在父类和子类中访问,变量前添加 %00*%00 用于标定其是受保护的。

1.6 反序列化漏洞

php在反序列化的时候会调用 __wakeup / __sleep 等函数,可能会造成代码执行等问题。若没有相关函数,在析构时也会调用相关的析构函数,同样会造成代码执行。

另外 __toString / __call 两个函数也有利用的可能。

其中 __wakeup 在反序列化时被触发,__destruct 在GC时被触发, __toString 在echo时被触发, __call 在一个未被定义的函数调用时被触发。

tips:PHP __destruct触发时间 (GC)

1 对象被null
2 对象被unset
3 对象用完自动触发

1.7 利用点

 SoapClient 原生利用

php中的SoapClient类可以创建soap数据报文,在非wsdl模式下,SoapClient的实例反序列化的时候会对第二个参数指明的url进行soap请求,该特性可用于SSRF。

tips:(1条消息) SoapClient原生类在开发以及安全中利用_合天网安实验室的博客-CSDN博客_soapclient

其中wdsl接口 WSDL描述Web服务的公共接口。这是一个基于XML的关于如何与Web服务通讯和使用的服务描述

 ZipArchive 原生利用

php原生类 ZipArchive::open() 中的flag参数如果设置为 ZipArchive::OVERWRITE 时,会删除指定文件,该特性在一定条件下可以用于删除文件。

PHP Session中的利用

PHP中的Session的实现是没有的问题,危害主要是由于程序员的Session使用不当而引起的。
如果在PHP在反序列化存储的$_SESSION数据时使用的引擎和序列化使用的引擎不一样,会导致数据无法正确第反序列化。通过精心构造的数据包,就可以绕过程序的验证或者是执行一些系统的方法

$_SESSION['ryat'] = '|O:11:"PeopleClass":0:{}';

上述的$_SESSION的数据使用php_serialize,那么最后的存储的内容就是a:1:{s:6:"spoock";s:24:"|O:11:"PeopleClass":0:{}";}

但是我们在进行读取的时候,选择的是php,那么最后读取的内容是:

array (size=1)
  'a:1:{s:6:"spoock";s:24:"' => 
    object(__PHP_Incomplete_Class)[1]
      public '__PHP_Incomplete_Class_Name' => string 'PeopleClass' (length=11)

这是因为当使用php引擎的时候,php引擎会以|作为作为key和value的分隔符,那么就会将a:1:{s:6:"spoock";s:24:"作为SESSION的key,将O:11:"PeopleClass":0:{}作为value,然后进行反序列化,最后就会得到PeopleClas这个类。
这种由于序列话化和反序列化所使用的不一样的引擎就是造成PHP Session序列话漏洞的原因。

具体利用请看 PHP中SESSION反序列化机制 | Spoock

Phar反序列化

phar反序列化就是可以在不使用php函数unserialize()的前提下,进行反序列化,从而引起的严重的php对象注入漏洞

Phar是将php文件打包而成的一种压缩文档,类似于Java中的jar包。它有一个特性就是phar文件会以序列化的形式储存用户自定义的meta-data。以扩展反序列化漏洞的攻击面,配合phar://协议使用。

  • 1
    点赞
  • 0
    收藏
    觉得还不错? 一键收藏
  • 0
    评论

“相关推荐”对你有帮助么?

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

红包个数最小为10个

红包金额最低5元

当前余额3.43前往充值 >
需支付:10.00
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明:

1.余额是钱包充值的虚拟货币,按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载,可以购买VIP、付费专栏及课程。

余额充值