PHP渗透测试题目笔记

最简单反序列化漏洞

简单实例，如下是一串简单的PHP代码，index.php里面包含了flag.php 这个文件

<?php
// 关闭错误报告
error_reporting(0);
include "flag.php";
$key="020202";
$str=$_GET['str'];
if(unserialize($str)==="$key"){
   
    echo "$flag";
}
show_source(__FILE__); 
//show_source() 函数对文件进行语法高亮显示。
?>

flag.php文件内容如下

<?php
$flag="flag{020202020020}"    
?>

逻辑解释：当通过URL传递参数到str变量中，如果传递的变量反序列化出来与"$key"相同（三个等于号），那么就输出flag.php里面的flag参数内容，所以可以在URL中输入：

http://127.0.0.1/web/serialize/index.php?str=s:6:"22020202";

在不确定是什么形式的序列化字符串，可以去在线工具里尝试

<?php
$key=020202;
echo serialize($key);
?>
// i:8322;

陷阱题 PHP反序列化漏洞

下面是一个反序列化漏洞的陷阱CTF题目

<?php
error_reporting(0);
// 隐藏报错内容
include("flag.php");
$cookie=$_COOKIE['Bob'];
if(isset($_GET['hint'])){
   
    show_source(__FILE__);
}elseif(unserialize($cookie)==="$key"){
   
	echo "$flag";
}else{
   
    $key="123456";
}
?>

从代码可以看到，代码获取Bob的cookie内容，然后与key元素作比较，如果反序列化出来内容相同，则输出flag，但是这里面有两个陷阱：

• 在渗透时，只有输入?hint=的时候才会展示出源代码，而后面的内容则不再执行下去，即hint值存在才会展示源代码，但是一旦展示源代码，后面的内容则不再执行
• 代码执行顺序的陷阱，key的值只有在else条件下才会被赋值，所以之前与cookie比较的值为空值

根据内容，此题的正确解法修改的cookie内容：

Cookie: Bob=s:0:"";

PHP魔术方法执行顺序

魔术方法链接

__construct()，类的构造函数

__destruct()，类的析构函数

__call()，在对象中调用一个不可访问方法时调用

__callStatic()，用静态方式中调用一个不可访问方法时调用

__get()，获得一个类的成员变量时调用

__set()，设置一个类的成员变量时调用

__isset()，当对不可访问属性调用isset()或empty()时调用

__unset()，当对不可访问属性调用unset()时被调用。

__sleep()，执行serialize()时，先会调用这个函数

__wakeup()，执行unserialize()时，先会调用这个函数

__toString()，类被当成字符串时的回应方法

__invoke()，调用函数的方式调用一个对象时的回应方法

__set_state()，调用var_export()导出类时，此静态方法会被调用。

__clone()，当对象复制完成时调用

__autoload()，尝试加载未定义的类

__debugInfo()，打印所需调试信息

范例

例如下面的代码执行顺序

<?php
error_reporting(0);

clas